GitHubはEnterprise Server（GHES）バージョン3.20.3をリリースし、攻撃者が内部サービスへのアクセス、権限昇格、機密データの抽出を可能にする複数の重大・高深刻度の脆弱性に対処しました。
2026年5月26日に公開されたこのアップデートでは、管理者がパッチを適用する前に暗号署名キーをローテーションすることを求める重要なセキュリティ変更も導入されています。
このリリースで修正された最も深刻な問題は、CVE-2026-9312として追跡される、事前認証不要のサーバーサイドリクエストフォージェリ（SSRF）脆弱性です。この欠陥は、入力検証が不十分なアップロードエンドポイントに存在していました。
GHESインスタンスへのネットワークアクセスを持つ攻撃者は、この脆弱性を悪用して内部サービスへの細工されたリクエストを送信し、機密認証情報を露出させたり、バックエンドシステムへの不正なやり取りを可能にする可能性があります。
GitHubはこの脆弱性がバグバウンティプログラムを通じて報告されたことを確認しました。現在、リクエストパラメータに対してより厳格な検証を実装することで問題が解決され、悪意ある入力が内部サービスで処理されるのを効果的にブロックしています。
さらに、GitHubはセキュリティ調査の結果、GHESリリースパッケージの署名に使用されていた既存の署名キーを失効させました。今後のすべてのリリースは新しいキーで署名されるため、管理者はアップデートを適用する前にインスタンス内のGPG公開鍵をローテーションする必要があります。GitHubはこの移行を簡素化し、運用上の負担を軽減するための専用スクリプトを提供しています。
高深刻度の問題と権限昇格
- CVE-2026-43284およびCVE-2026-43500：これらの「Dirty Frag」Linuxカーネル脆弱性は、IPsec ESPおよびRxRPCサブシステムに影響を与え、ローカルアクセスを持つ攻撃者がroot権限に昇格することを可能にします。
- CVE-2026-8606：タイミングサイドチャネル脆弱性とSSRF問題の組み合わせにより、攻撃者はGitHub Packages機能を通じて機密環境変数を抽出することができました。プライベートモードがオフの場合は認証なしで、認証済みユーザーであれば認証ありでこの操作が可能でした。
- GitHubはGHESから脆弱なパッケージURLエンドポイントを完全に削除することでPackages関連の問題を軽減し、攻撃ベクターを排除しました。
セキュリティ脆弱性への対処に加え、このリリースにはシステムの安定性とパフォーマンスを向上させるためのいくつかのバグ修正と運用上の改善が含まれています。
GitHubは、Nomadサービスの起動・停止アクションがスナップショットのトリガーに失敗し、システムの回復性が低下する可能性があった問題を解決しました。マークダウンレンダリングに影響するバグも修正され、旧バージョンからのアップグレード前にアップロードされた画像がテーブル内で正しく表示されるようになりました。
このアップデートでは、ユーザーがキャプチャグループを悪用してワイルドカード制限をバイパスし、スキャンパフォーマンスを低下させる可能性があったシークレットスキャンのバイパス問題にも対処しています。
パフォーマンス面では、GitHubは高負荷時のメトリクス損失を防ぐため、OpenTelemetryコレクターのデフォルトメモリ割り当てを1024 MiBから4096 MiBに増加させました。
クラスター監視も改善され、ノードのリーダーシップに関係なくシステムの健全性をより良く把握できるようになりました。また、メトリクス命名規則の変更により、大規模デプロイメントでの命名の衝突によるデータ収集の欠落を防ぐことができます。
GitHubは、管理者がアップデートを適用する前に考慮すべきいくつかの既知の問題を指摘しています。アップグレード中にカスタムファイアウォールルールが削除されるため、後で手動で再適用する必要があります。また、ログイン試行に繰り返し失敗した後、rootの管理者アカウントがロックされたままになるケースもあり、SSHによる手動ロック解除が必要です。
緩和策と推奨事項
GitHub Enterprise Serverを使用している組織は、対処された脆弱性の深刻度を考慮して、このアップデートを高優先度として扱うべきです。管理者はパッチを適用する前にGPG署名キーをローテーションし、アップグレード後にすべてのサービスが正常に機能していることを確認する必要があります。
また、SSRF攻撃への露出を低減するためにGHESインスタンスへのネットワークアクセスを制限し、アップグレード後にカスタムファイアウォール設定を再適用することも推奨されます。運用上の混乱を避けるために、クラスター設定と監視システムの慎重な検証が推奨されます。
このリリースは、エンタープライズプラットフォームにおけるSSRFおよびサイドチャネル脆弱性がもたらすリスクの増大を浮き彫りにし、強力な入力検証、セキュアな設定実践、タイムリーなパッチ管理の重要性を改めて強調しています。
最新情報を入手するにはGoogle ニュース、LinkedIn、Xでフォローし、GoogleでGBHを優先ソースとして設定してください。
翻訳元: https://gbhackers.com/github-enterprise-server-3-20-3-addresses-critical-security-flaws/
