🇰🇷 한글 설명
GitHub Enterprise Server에서 잘못된 인가 취약점이 발견되었으며, 공격자가 push 권한 없이도 enable_auto_merge 뮤테이션의 인가 우회를 악용하여 자신의 풀 리퀘스트를 병합할 수 있습니다. 이 취약점은 포킹이 허용된 저장소에서만 영향을 미치며, 브랜치 보호 규칙이 없는 깨끗한 PR 상태에서만 악용 가능합니다. GitHub Enterprise Server 3.19.2, 3.18.5, 3.17.11 이전 버전이 영향을 받습니다.
💡 쉬운 설명
GitHub 기업 서버에서 권한이 없는 사람이 특정 조건에서 코드 변경사항을 승인 없이 병합할 수 있는 허점이 존재합니다. 마치 자물쇠가 잠겨있어야 할 문이 특정 상황에서 열려버리는 것과 같습니다.
🇺🇸 원문 (English)
An incorrect authorization vulnerability was identified in GitHub Enterprise Server that allowed an attacker to merge their own pull request into a repository without having push access by exploiting an authorization bypass in the enable_auto_merge mutation for pull requests. This issue only affected repositories that allow forking as the attack relies on opening a pull request from an attacker-controlled fork into the target repository. Exploitation was only possible in specific scenarios. It required a clean pull request status and only applied to branches without branch protection rules enabled. This vulnerability affected GitHub Enterprise Server versions prior to 3.19.2, 3.18.5, and 3.17.11, and was fixed in versions 3.19.2, 3.18.5, and 3.17.11. This vulnerability was reported via the GitHub Bug Bounty program.
📍 영향받는 시스템
GitHub Enterprise Server 3.17.11 미만, 3.18.5 미만, 3.19.2 미만 버전
⚔️ 공격 벡터
공격자 제어 포크에서 대상 저장소로 PR을 열고 enable_auto_merge GraphQL 뮤테이션의 인가 검증 우회를 통해 push 권한 없이 자동 병합 실행
🛡️ 대응 방법
GitHub Enterprise Server를 3.17.11, 3.18.5, 3.19.2 이상 버전으로 업그레이드하거나, 모든 브랜치에 브랜치 보호 규칙을 활성화하여 완화
🔧 검증 코드
출력된 버전이 3.17.11, 3.18.5, 3.19.2 이상이면 패치 적용 완료; 그 이하 버전이면 취약한 상태이므로 즉시 업그레이드 필요
ghe-version 2>/dev/null || curl -s -H 'Authorization: token YOUR_TOKEN' https://YOUR_GHE_HOST/api/v3/meta | python3 -c "import sys,json; d=json.load(sys.stdin); print(d.get('installed_version','unknown'))"