CVE-2026-3854

Nome do Software Vulnerável e Versões Afetadas GitHub Enterprise Server versões anteriores a 3.14.25 GitHub Enterprise Server versões anteriores a 3.15.20 GitHub Enterprise Server versões anteriores a 3.16.16 GitHub Enterprise Server versões anteriores a 3.17.13 GitHub Enterprise Server versões anteriores a 3.18.8 GitHub Enterprise Server versões anteriores a 3.19.4 GitHub Enterprise Server versões anteriores a 3.20.0

Description Uma neutralização inadequada de elementos especiais permite que um invasor autenticado com acesso de push a um repositório consiga a execução remota de código na instância. Durante uma operação git push, os valores de opção de push fornecidos pelo usuário não são sanitizados corretamente antes de serem incluídos nos cabeçalhos de serviço internos. Como o formato do cabeçalho interno utiliza um caractere delimitador (ponto e vírgula) que também pode aparecer na entrada do usuário, um invasor pode injetar campos de metadados adicionais.

A exploração técnica envolve a injeção de valores no cabeçalho X-Stat para sobrescrever campos internos como rails env, custom hooks dir e repo pre receive hooks. Ao definir rails env para um valor de não-produção, um invasor pode ignorar o sandboxing e usar repo pre receive hooks para executar binários arbitrários, como /bin/bash, como o usuário do serviço git. No GitHub Enterprise Server, isso pode levar ao comprometimento total do servidor, incluindo acesso a todos os repositórios hospedados e segredos internos. Em infraestruturas compartilhadas, isso poderia permitir a exposição cross-tenant de milhões de repositórios privados. Estima-se que aproximadamente 88% das instâncias do GitHub Enterprise Server acessíveis permaneciam sem patch no momento da divulgação pública.

Recommendations Atualize o GitHub Enterprise Server para a versão 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.8, 3.19.4 ou 3.20.0. Como solução temporária, evite usar o comando git push -o com opções de push personalizadas até que o sistema seja atualizado.