🇰🇷 한글 설명
GitHub Enterprise Server의 ghu_ 토큰 인가 메커니즘에서 삭제된 설치를 글로벌 설치로 잘못 취급하여, 인증된 공격자가 의도된 범위를 벗어난 비공개 저장소에 접근할 수 있는 취약점입니다. 토큰 취소 타이밍과 SSH push 속성을 악용하면 피해자 토큰을 탈취하여 재사용할 수 있습니다.
💡 쉬운 설명
GitHub의 기업용 서버에서 권한 설정 오류로 허가받지 않은 저장소 접근이 가능해졌습니다. 공격자가 다른 사람의 권한을 이용해 민감한 데이터를 읽거나 수정할 수 있습니다.
🇺🇸 원문 (English)
An improper authorization vulnerability in scoped user-to-server (ghu_) token authorization in GitHub Enterprise Server allows an authenticated attacker to access private repositories outside the intended installation scope, which can include write operations, via an authorization fallback that treated a revoked/deleted installation as a global installation context, which could be chained with token revocation timing and SSH push attribution to obtain and reuse a victim-scoped token. This vulnerability affected all versions of GitHub Enterprise Server prior to 3.21 and was fixed in versions 3.20.1, 3.19.5, 3.18.8, 3.17.14, 3.16.17, 3.15.21, and 3.14.26. This vulnerability was reported via the GitHub Bug Bounty program.
📍 영향받는 시스템
GitHub Enterprise Server 3.21 이전 모든 버전 (3.20.1, 3.19.5, 3.18.8, 3.17.14, 3.16.17, 3.15.21, 3.14.26 이상으로 업그레이드 필요)
⚔️ 공격 벡터
인증된 사용자가 ghu_ 토큰을 조작하여 삭제된 설치 컨텍스트를 악용, 토큰 취소 타이밍을 맞춰 비공개 저장소 접근 및 SSH 푸시 수행
🛡️ 대응 방법
GitHub Enterprise Server를 3.20.1, 3.19.5, 3.18.8, 3.17.14, 3.16.17, 3.15.21, 3.14.26 이상의 패치된 버전으로 업그레이드
🔧 검증 코드
GitHub Enterprise Server의 설치 버전을 확인한 후, 패치된 버전 목록과 비교하여 업그레이드 필요 여부 판단
grep -r 'version' /opt/github/config/github.conf 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'