GitHub企业服务器未授权访问漏洞报告

漏洞概述

GitHub企业服务器中被发现存在一个不当的访问控制漏洞，该漏洞允许拥有任何仓库访问权限的用户通过创建仓库间的差异对比，从其他仓库检索有限的代码内容。

技术细节

漏洞利用条件

• 攻击者需要知道私有仓库的名称
• 需要了解可用于触发比较/差异功能的分支、标签或提交SHA
• 攻击者可在未获得适当授权的情况下检索有限的代码

影响范围

该漏洞影响GitHub企业服务器3.18之前的所有版本，已在以下版本中修复：

• 3.14.17
• 3.15.12
• 3.16.8
• 3.17.5

时间线

• 2025年5月3日 - furbreeze向GitHub提交漏洞报告
• 2025年8月7日 - GitHub员工skum-gh发表评论
• 2025年8月13日 - 漏洞严重程度从高危(8.6)更新为高危
• 2025年8月26日 - furbreeze获得1万美元赏金
• 2025年8月26日 - 报告状态更改为"已解决"
• 2025年9月23日 - 报告被公开披露

漏洞信息