CVE-2025-3509

إصدارات GitHub Enterprise Server الأقدم من 3.17

الإصدار 3.13.0 من GitHub Enterprise Server

تم تحديد ثغرة أمنية تتعلق بتنفيذ التعليمات البرمجية عن بُعد (RCE) في GitHub Enterprise Server، مما يسمح للمهاجمين بتنفيذ تعليمات برمجية عشوائية من خلال استغلال وظيفة هوك ما قبل الاستلام (pre-receive hook)، مما قد يؤدي إلى تصعيد الامتيازات واختراق النظام. تتضمن هذه الثغرة استخدام منافذ مخصصة ديناميكيًا تصبح متاحة مؤقتًا، كما هو الحال أثناء تحديث التصحيح الفوري (hot patch). وهذا يعني أن الثغرة لا يمكن استغلالها إلا في ظل ظروف تشغيلية محددة، مما يحد من نطاق الهجوم. وكان الاستغلال يتطلب أذونات مسؤول الموقع لتمكين وتكوين «الخطافات» (hooks) قبل الاستلام، أو مستخدمًا يتمتع بأذونات لتعديل المستودعات التي تحتوي على «الخطافات» قبل الاستلام حيث كانت هذه الوظيفة ممكّنة بالفعل.

بالنسبة لإصدارات GitHub Enterprise Server الأقدم من 3.17، قم بالتحديث إلى الإصدار 3.16.2 أو 3.15.6 أو 3.14.11 أو 3.13.14 لإصلاح الثغرة الأمنية.

كحل بديل مؤقت، ضع في اعتبارك تعطيل ميزة هوك ما قبل الاستلام حتى يتوفر تصحيح.

قم بتقييد الوصول إلى ميزة هوك ما قبل الاستلام لتقليل مخاطر الاستغلال.

تجنب استخدام ميزة هوك ما قبل الاستلام أثناء تحديثات التصحيح الفوري حتى يتم حل المشكلة