| タイトル | GitHubのEnterprise Serverにおけるユーザ制御の鍵による認証回避に関する脆弱性 |
|---|---|
| 概要 | GitHub Enterprise Serverにおいて、あるリポジトリで管理者権限を持つ攻撃者が、リクエストボディ内のowner_idパラメータを操作することで別のリポジトリのシークレットスキャンプッシュ保護の委任バイパスレビュアーリストを変更できる認可バイパスの脆弱性が確認されました。認可はURL内のリポジトリに対して検証されていましたが、操作はリクエストボディで指定された異なるリポジトリに適用されていました。影響は既存の信頼されたユーザーをバイパスレビュアーとして割り当てることに限定されており、任意の外部ユーザーを追加することはできません。この脆弱性はGitHub Enterprise Serverの3.21以前のすべてのバージョンに影響を及ぼし、3.14.25、3.15.20、3.16.16、3.17.13、3.18.7、3.19.4、および3.20.1の各バージョンで修正されました。この脆弱性はGitHubバグバウンティプログラムを通じて報告されています。 |
| 想定される影響 | 当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年4月21日0:00 |
| 登録日 | 2026年4月30日11:03 |
| 最終更新日 | 2026年4月30日11:03 |
| CVSS3.0 : 低 | |
| スコア | 2.7 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N |
| GitHub |
| Enterprise Server 3.14.26 未満 |
| Enterprise Server 3.15.0 以上 3.15.21 未満 |
| Enterprise Server 3.16.0 以上 3.16.17 未満 |
| Enterprise Server 3.17.0 以上 3.17.14 未満 |
| Enterprise Server 3.18.0 以上 3.18.8 未満 |
| Enterprise Server 3.19.0 以上 3.19.5 未満 |
| Enterprise Server 3.20.0 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年04月30日] 掲載 |
2026年4月30日11:03 |
| 概要 | An authorization bypass vulnerability was identified in GitHub Enterprise Server that allowed an attacker with admin access on one repository to modify the secret scanning push protection delegated bypass reviewer list on another repository by manipulating the owner_id parameter in the request body. Authorization was verified against the repository in the URL, but the action was applied to a different repository specified in the request body. The impact is limited to assigning existing trusted users as bypass reviewers; it does not allow adding arbitrary external users. This vulnerability affected all versions of GitHub Enterprise Server prior to 3.21 and was fixed in versions 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.7, 3.19.4 and 3.20.1. This vulnerability was reported via the GitHub Bug Bounty program. |
|---|---|
| 公表日 | 2026年4月22日8:16 |
| 登録日 | 2026年4月25日4:04 |
| 最終更新日 | 2026年4月29日21:47 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:github:enterprise_server:*:*:*:*:*:*:*:* | 3.14.26 | ||||
| cpe:2.3:a:github:enterprise_server:*:*:*:*:*:*:*:* | 3.15.0 | 3.15.21 | |||
| cpe:2.3:a:github:enterprise_server:*:*:*:*:*:*:*:* | 3.16.0 | 3.16.17 | |||
| cpe:2.3:a:github:enterprise_server:*:*:*:*:*:*:*:* | 3.17.0 | 3.17.14 | |||
| cpe:2.3:a:github:enterprise_server:*:*:*:*:*:*:*:* | 3.18.0 | 3.18.8 | |||
| cpe:2.3:a:github:enterprise_server:*:*:*:*:*:*:*:* | 3.19.0 | 3.19.5 | |||
| cpe:2.3:a:github:enterprise_server:3.20.0:*:*:*:*:*:*:* | |||||