Kritiek beveiligingslek op GitHub.com gaf toegang tot miljoenen repositories

[Captain Kirk]

Een kritieke kwetsbaarheid op GitHub.com maakte het mogelijk om toegang tot miljoenen publieke en private repositories te krijgen. Hetzelfde beveiligingslek maakte het ook mogelijk om in het geval van GitHub Enterprise Server systemen volledig te compromitteren en zo toegang te krijgen tot alle gehoste repositories en interne secrets. Dat meldt securitybedrijf Wiz. GitHub heeft het probleem inmiddels verholpen.

GitHub is een populair platform voor softwareontwikkelaars. GitHub Enterprise Server is een self-hosted platform voor softwareontwikkeling binnen een organisatie. Via het platform is het mogelijk om software te ontwikkelen en leveren. Onderzoekers van Wiz ontdekten een injection kwetsbaarheid in het interne protocol van GitHub. Geauthenticeerde gebruikers konden zo via een git push commando willekeurige commando's op de backend servers van GitHub uitvoeren.

Wanneer een gebruiker code naar GitHub.com pusht zijn hier verschillende interne services van het platform bij betrokken. Als onderdeel van het push proces wordt metadata over de push, zoals het soort repository en de omgeving waarin die moet worden verwerkt, via een intern protocol tussen de verschillende services uitgewisseld. De kwetsbaarheid maakte misbruik van hoe door gebruikers opgegeven push opties binnen deze metadata werd verwerkt.

Push opties maken het mogelijk voor clients om tijdens een push 'key-value strings' naar de server te sturen. Onvoldoende 'sanitization' zorgde ervoor dat de downstream service van GitHub gebruikersinvoer als vertrouwde interne data beschouwde. Een aanvaller kon door middel van verschillende geïnjecteerde waardes code op shared storage nodes van GitHub.com uitvoeren. Op deze gecompromitteerde nodes hadden de onderzoekers toegang tot miljoenen publieke en private repositories van andere gebruikers en organisaties.

Wiz waarschuwde GitHub dat het probleem binnen een aantal uur op GitHub.com verhielp. Voor GitHub Enterprise Server zijn beveiligingsupdates beschikbaar gesteld. Organisaties moeten die nog wel zelf installeren. De onderzoekers stellen dat 88 procent van de servers nog kwetsbaar is. GitHub meldt op basis van eigen onderzoek dat er geen misbruik van de kwetsbaarheid (CVE-2026-3854) is gemaakt.

 

bron: https://www.security.nl