🇰🇷 한글 설명
GitHub Enterprise Server에서 CSRF 취약점이 발견되었습니다. 인증된 관리 콘솔 운영자가 공격자가 만든 콘텐츠를 방문하면, 저장된 Slack 및 Microsoft Teams ChatOps 연동 설정과 제공자 자격 증명이 삭제될 수 있습니다. 3.23 이전의 모든 버전에 영향을 미치며, 3.19.14, 3.20.10, 3.21.8, 3.22.3에서 수정되었습니다.
💡 쉬운 설명
관리자가 악성 웹페이지를 열면 GitHub 서버에 연결된 Slack이나 Teams 알림 설정이 몰래 지워질 수 있습니다. 이로 인해 알림과 명령 기능이 중단될 수 있습니다.
🇺🇸 원문 (English)
A cross-site request forgery vulnerability was identified in GitHub Enterprise Server that allowed an unauthenticated attacker to delete stored Slack and Microsoft Teams ChatOps configuration and provider credentials by inducing an authenticated Management Console operator's browser to send a cross-site GET request to the integration removal endpoint without a CSRF token. Exploitation required configured ChatOps integrations and an operator visiting attacker-controlled content while signed in to the Management Console; deletion could disrupt ChatOps notifications and commands when configuration was applied or services reloaded. This vulnerability affected all versions of GitHub Enterprise Server prior to 3.23 and was fixed in versions 3.19.14, 3.20.10, 3.21.8, and 3.22.3. This vulnerability was reported via the GitHub Bug Bounty program.
📍 영향받는 시스템
GitHub Enterprise Server 3.23 미만 버전 (3.19.14, 3.20.10, 3.21.8, 3.22.3 미만 포함)
⚔️ 공격 벡터
인증된 관리 콘솔 운영자가 공격자가 제작한 페이지를 방문하도록 유도하여 CSRF로 연동 삭제 엔드포인트에 GET 요청을 보내게 함
🛡️ 대응 방법
GitHub Enterprise Server를 3.19.14, 3.20.10, 3.21.8, 3.22.3 또는 3.23 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 3.19.14, 3.20.10, 3.21.8, 3.22.3 이상이거나 3.23 이상이면 취약점이 수정된 것이며, 그보다 낮으면 업그레이드가 필요합니다.
ghe-version 2>/dev/null || cat /data/user/common/github-release 2>/dev/null