O GitHub lançou correções para abordar uma falha de máxima gravidade no GitHub Enterprise Server (GHES) que poderia permitir a um atacante contornar as proteções de autenticação. Identificada como CVE-2024-4985 (pontuação CVSS: 10.0), a falha pode permitir acesso não autorizado a uma instância sem a necessidade de autenticação prévia.

“Em instâncias que utilizam autenticação SAML single sign-on (SSO) com o recurso opcional de afirmações criptografadas, um atacante poderia forjar uma resposta SAML para provisionar e/ou obter acesso a um usuário com privilégios de administrador”, disse a empresa em um comunicado. O GHES é uma plataforma auto-hospedada para desenvolvimento de software, permitindo que organizações armazenem e construam software utilizando o controle de versão Git, além de automatizar a pipeline de implantação.

A falha afeta todas as versões do GHES anteriores à 3.13.0 e foi corrigida nas versões 3.9.15, 3.10.12, 3.11.10 e 3.12.4. O GitHub destacou que as afirmações criptografadas não estão habilitadas por padrão e que a falha não afeta instâncias que não utilizam SAML single sign-on (SSO) ou aquelas que usam autenticação SAML SSO sem afirmações criptografadas. Para atualizar, os administradores devem seguir os procedimentos usuais de atualização do GHES, que podem ser encontrados na documentação oficial do GitHub.

Além disso, é recomendável revisar as configurações de autenticação e garantir que as práticas recomendadas de segurança estejam em vigor para evitar explorações futuras.