Alerta de Segurança: Falha Crítica no GitHub Enterprise Server Permite Desvio de Autenticação

Internology Soluções em Marketing
18 de jun.
3 min de leitura

Uma vulnerabilidade crítica foi descoberta no GitHub Enterprise Server (GHES) que pode permitir o desvio de autenticação. Essa falha de segurança, presente em versões anteriores à 3.13.0, permite que um invasor forje uma resposta SAML para obter acesso com privilégios de administrador de site, comprometendo a integridade dos dados e a segurança da plataforma.

Falha Crítica no GitHub Enterprise Server Revela Risco de Desvio de Autenticação

Uma vulnerabilidade significativa foi identificada no GitHub Enterprise Server (GHES), uma plataforma amplamente utilizada para desenvolvimento de software. A falha, classificada como um desvio de autenticação, afeta as versões do GHES anteriores à 3.13.0 e representa um risco considerável para as organizações que utilizam o serviço.

Detalhes da Vulnerabilidade

A vulnerabilidade reside na forma como o GHES lida com a autenticação SAML (Security Assertion Markup Language) de logon único, especificamente quando o recurso opcional de asserções criptografadas é utilizado. Um atacante pode explorar essa falha para forjar uma resposta SAML, permitindo-lhe provisionar ou obter acesso a uma conta de usuário com privilégios de administrador de site. Isso significa que um invasor pode obter acesso não autorizado à instância sem a necessidade de autenticação prévia.

As consequências de uma exploração bem-sucedida incluem a capacidade de:

Visualizar, alterar ou excluir dados.
Criar novas contas com direitos de usuário completos.

Impacto e Recomendações

O risco associado a essa vulnerabilidade é considerado ALTO para grandes e médias entidades governamentais e empresariais, e MÉDIO para pequenas entidades. Atualmente, não há relatos de exploração desta vulnerabilidade em ataques reais.

Para mitigar o risco, as seguintes ações são fortemente recomendadas:

Atualização Imediata: Aplicar as atualizações fornecidas pelo GitHub para as versões vulneráveis do sistema, especificamente para a versão 3.13.0 ou posterior, imediatamente após testes apropriados.
Gestão de Vulnerabilidades: Estabelecer e manter um processo documentado de gestão de vulnerabilidades para os ativos da empresa.
Gerenciamento Automatizado de Patches: Realizar atualizações de aplicativos em ativos empresariais por meio de gerenciamento automatizado de patches mensalmente ou com maior frequência.
Varreduras de Vulnerabilidade: Realizar varreduras automatizadas de vulnerabilidade em ativos empresariais expostos externamente mensalmente ou com maior frequência.
Remediação de Vulnerabilidades: Remediar as vulnerabilidades detectadas no software mensalmente ou com maior frequência, com base no processo de remediação.
Princípio do Menor Privilégio: Aplicar o princípio do menor privilégio a todos os sistemas e serviços, executando todo o software como um usuário não privilegiado.
Gerenciamento de Contas Padrão: Gerenciar contas padrão em ativos e softwares empresariais, como contas de root e administrador, desabilitando-as ou tornando-as inutilizáveis.
Restrição de Privilégios de Administrador: Restringir os privilégios de administrador a contas de administrador dedicadas.
Limitação de Acesso à Rede: Limitar o acesso a compartilhamentos de arquivos, acesso remoto a sistemas e serviços desnecessários.
Prevenção de Intrusões: Utilizar assinaturas de detecção de intrusões para bloquear o tráfego nas fronteiras da rede, implantando soluções de detecção e prevenção de intrusões de rede.
Proteção contra Exploração: Utilizar recursos para detectar e bloquear condições que possam levar ou indicar a ocorrência de uma exploração de software, incluindo filtragem na camada de aplicação.

Pontos Chave

Vulnerabilidade: Desvio de autenticação no GitHub Enterprise Server (GHES).
Afeta: GHES versões anteriores à 3.13.0.
Causa: Falha na autenticação SAML com asserções criptografadas.
Risco: Permite que um invasor forje respostas SAML para obter privilégios de administrador.
Mitigação: Atualização para a versão 3.13.0 ou posterior e implementação de práticas de segurança robustas.