O GitHub lançou correções para resolver uma falha de gravidade máxima no GitHub Enterprise Server (GHES) que poderia permitir a um invasor ignorar proteções de autenticação.

Identificado como CVE-2024-4985 (pontuação CVSS: 10.0), o problema poderia permitir acesso não autorizado a uma instância sem exigir autenticação prévia.

“Nas instâncias que utilizam a autenticação de logon único (SSO) do SAML com a opção de assertões criptografadas, um invasor poderia forjar uma resposta do SAML para fornecer e/ou obter acesso a um usuário com privilégios de administrador”, disse a empresa em um aviso.

O GHES é uma plataforma auto-hospedada para desenvolvimento de software, que permite às organizações armazenar e construir software usando controle de versão Git, bem como automatizar o pipeline de implantação.

O problema afeta todas as versões do GHES anteriores à 3.13.0 e foi abordado nas versões 3.9.15, 3.10.12, 3.11.10 e 3.12.4.

O GitHub observou ainda que as assertões criptografadas não estão habilitadas por padrão e que a falha não afeta as instâncias que não utilizam logon único (SSO) do SAML ou aquelas que usam autenticação SSO do SAML sem assertões criptografadas.

As assertões criptografadas permitem aos administradores do site melhorar a segurança de uma instância do GHES com SSO do SAML através da criptografia das mensagens que o provedor de identidade SAML (IdP) envia durante o processo de autenticação.

Organizações que estão usando uma versão vulnerável do GHES são recomendadas a atualizar para a versão mais recente para se proteger contra possíveis ameaças de segurança.