GitHub Enterprise, das für die interne Softwareentwicklung von Unternehmen verwendet wird, hat eine schwerwiegende Sicherheitslücke geschlossen. Zwei Fehler in der Management-Console des Tools ermöglichten es Angreifern, beliebigen Code auszuführen.
8․0 bis einschließlich 2․8․6 aufgedeckt, über die Remote Code Execution möglich ist. Sofern nicht schon geschehen, sollten Nutzer umgehend das Ende Januar erschienene Update auf Version 2․8․7 einspielen. Mit der Enterprise-Version können Unternehmen einen hauseigenen GitHub-Service in ihrem Netz aufsetzen.
Die Sicherheitslücke haben GitHub und Fenske erst vor wenigen Tagen offengelegt. Sie besteht ebendies genommen aus zwei Fehlern ebenso wie Fenske in seinem Blog erklärt. Ein Problem rührt von fehlerhaftem Signieren einer Ruby-on-Rails-Session. Dem zweiten Problem liegt eine fehlerhafte Nutzung der Marshall-Library zugrunde. In der Folge lässt sich die Managment Console mittels gefälschter Sitzungs-Cookies dazu bringen, beliebigen Code auszuführen.
GitHub hat die Schwachstellen der Software laut eigenen Angaben innerhalb von fünf Tagen geschlossen. Fenske erhielt für die Meldung der Lücken insgesamt 18․000 US-Dollar in zwei Tranchen, davon 8000 US-Dollar im Rahmen eines Bug Bounty Contest.
Kommentare