A vulnerabilidade representada pelo CVE-2024-9487 tratava-se de um bypass da autenticação por SAML. Através da funcionalidade opcional de asserções encriptadas, permitia acesso não autorizado de utilizadores à instância, já que não havia verificação das assinaturas criptográficas
Versões corrigidas do enterprise server:
3.14.2, 3.13.5, 3.12.10, and 3.11.16.
Mais informações: https://www.bleepingcomputer.com/news/security/github-warns-of-saml-auth-bypass-flaw-in-enterprise-server/
Guia de atualização do enterprise server: https://docs.github.com/en/enterprise-server@3.14/admin/upgrading-your-instance/preparing-to-upgrade/overview-of-the-upgrade-process
Comments