Last Updated on 2024-07-11 06:57 by admin

GitHubは、GitHub Enterprise Server (GHES)における最大の重大度を持つ脆弱性に対処するための修正を展開しました。この脆弱性は、攻撃者が認証保護をバイパスして無許可でインスタンスにアクセスできる可能性があるものです。CVE-2024-4985（CVSSスコア: 10.0）として追跡され、SAMLシングルサインオン（SSO）認証を使用し、オプションの暗号化アサーション機能を有効にしているインスタンスで、攻撃者がSAMLレスポンスを偽造し、管理者権限を持つユーザーのプロビジョニングやアクセスを得ることができるとされています。GHESは、ソフトウェア開発のための自己ホスト型プラットフォームで、Gitバージョン管理を使用してソフトウェアを保存・構築し、デプロイメントパイプラインを自動化します。この問題は、3.13.0以前のすべてのバージョンに影響を及ぼし、3.9.15、3.10.12、3.11.10、3.12.4のバージョンで対処されました。GitHubは、暗号化アサーションはデフォルトでは有効になっておらず、SAML SSOを使用しないインスタンスや、暗号化アサーションなしでSAML SSO認証を使用するインスタンスには影響しないと述べています。脆弱なバージョンのGHESを使用している組織には、最新バージョンに更新して潜在的なセキュリティ脅威に対処することが推奨されます。

【ニュース解説】

GitHubは、GitHub Enterprise Server (GHES)における重大な脆弱性に対応するための修正を展開しました。この脆弱性は、攻撃者が認証プロセスをバイパスして、無許可でGHESインスタンスにアクセスできる可能性があるものです。特に、SAMLシングルサインオン（SSO）認証を使用し、オプションの暗号化アサーション機能を有効にしているインスタンスが対象です。攻撃者は、SAMLレスポンスを偽造することで、管理者権限を持つユーザーとしてアクセスを得ることが可能になります。

この問題は、GHESの3.13.0以前のすべてのバージョンに影響を及ぼし、GitHubは複数のバージョンにわたって修正を行いました。重要な点として、暗号化アサーションはデフォルトでは有効になっておらず、この機能を使用していないインスタンスや、SAML SSOを使用していないインスタンスは影響を受けません。

この脆弱性の発見と修正は、ソフトウェア開発のセキュリティにおける重要な側面を浮き彫りにします。GHESは、企業が自社のインフラ内でソフトウェア開発とデプロイメントを管理するために使用するプラットフォームです。このようなシステムのセキュリティが侵害されると、機密情報の漏洩や不正アクセスによる損害が発生する可能性があります。

この脆弱性の修正により、企業はGHESを安全に使用し続けることができますが、この事件は組織が使用するソフトウェアのセキュリティを常に監視し、更新することの重要性を示しています。また、SAML SSOのような認証メカニズムを使用する際には、暗号化アサーションのような追加のセキュリティ機能を適切に活用することが、セキュリティを強化する上で重要です。

この事件は、ソフトウェア開発とセキュリティの専門家にとって、認証プロセスのセキュリティを強化するための戦略を再評価する機会を提供します。また、企業がセキュリティのベストプラクティスを遵守し、定期的なセキュリティ監査と脆弱性の迅速な修正を行うことの重要性を強調しています。長期的には、このような脆弱性への対応が、より安全なソフトウェア開発環境の構築に貢献することが期待されます。

from Critical GitHub Enterprise Server Flaw Allows Authentication Bypass.