GitHub Enterprise Server: Server-Side Request Forgery im Secret Scanning
Zusammenfassung
Eine Server-Side Request Forgery (SSRF) Schwachstelle im Validator für GCP-Service-Account-Zugangsdaten von GitHub Enterprise Server erlaubt es einem Angreifer, den Appliance Server Anfragen an interne Hosts seiner Wahl senden zu lassen. Ein Benutzer mit Push-Berechtigung auf ein Repository kann präparierte Zugangsdaten committen, deren Token-Endpunkt auf ein internes Ziel verweist. Laut Hersteller könnte dies potenziell zu Remote Code Execution auf der Appliance verkettet werden. Die Ausnutzung setzt voraus, dass GitHub Advanced Security und die Gültigkeitsprüfungen des Secret Scanning aktiviert sind, was nicht die Standardeinstellungen sind.
Betroffen
- GitHub Enterprise Server 3.20, 3.21 und 3.22 (gemäss CVE-Eintrag)
- Versionen 3.18 und 3.19: Unbekannt. Ein Bulletin von HKCERT nennt Korrekturen für diese Zweige. Bitte die Herstellerwarnung prüfen.
Behoben in
- GitHub Enterprise Server 3.20.9
- GitHub Enterprise Server 3.21.7
- GitHub Enterprise Server 3.22.2
Umgehung
- Der CVE-Eintrag nennt keine Workaround-Massnahme. Das Patchen ist die primäre Massnahme.
- Übergangslösung, vom Hersteller nicht bestätigt: Gültigkeitsprüfungen des Secret Scanning deaktivieren, bis gepatcht werden kann. Vorher testen, da sich das Verhalten der Alarme ändert.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn. CISA SSVC listet die Ausnutzung als none und die Automatisierbarkeit als no.
- Die CVE ist nicht im CISA KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden. Die beschriebene RCE-Verkettung ist nicht im Detail belegt und unverifiziert.
Unsere Empfehlung
- Prüfen, ob GitHub Enterprise Server 3.20, 3.21 oder 3.22 im Einsatz ist und ob die Gültigkeitsprüfungen des Secret Scanning aktiviert sind.
- Auf 3.20.9, 3.21.7 oder 3.22.2 oder neuer patchen.
- Bis zum Patch den Push-Zugriff auf Repositories einschränken und die Deaktivierung der Gültigkeitsprüfungen in Betracht ziehen.
- Für 3.18 und 3.19 die Herstellerwarnung prüfen, bevor man von einer Nichtbetroffenheit ausgeht.
- Ungewöhnliche ausgehende Anfragen der Appliance überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Enterprise Server 3.20.9 release notes docs.github.com
- GitHub Enterprise Server 3.21.7 release notes docs.github.com
- GitHub Enterprise Server 3.22.2 release notes docs.github.com
- GitHub Enterprise Server 3.22 release notes docs.github.com
- OpenCVE entry CVE-2026-96890 app.opencve.io
- Vulners entry CVE-2026-96890 vulners.com
- Safeguard analysis CVE-2026-96890 safeguard.sh
- HKCERT security bulletin GitHub Enterprise Server www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:30.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.