NVD / CVE Program· CNA GitHub_P

CVE-2024-9487: An Improper Verification of Cryptographic Signature vulnerability was identified in GitHub Enterprise Server that allowed SAML SSO authentication to be…

КритическаяCVSS 9.5 · v4.0—Есть PoC Есть исправление

Оценка Noroxi

Приоритет: В плане (оценка срочности 46/100)

Опубликован готовый модуль атаки (Nuclei); для эксплуатации не нужна особая квалификация.
Есть публичный код proof-of-concept (Exploit-DB / GitHub); записей об эксплуатации в реальных атаках нет.
Вероятность эксплуатации в ближайшие 30 дней: 25,6% (FIRST EPSS); выше, чем у 97,9% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Требуются особые условия, например определённое время или конфигурация.
Исправленная версия: GitHub Enterprise Server 3.11.16, 3.12.10, 3.13.5.

Включите в обычный цикл установки исправлений. Обновитесь до GitHub Enterprise Server 3.11.16, 3.12.10, 3.13.5 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

An improper verification of cryptographic signature vulnerability was identified in GitHub Enterprise Server that allowed SAML SSO authentication to be bypassed resulting in unauthorized provisioning of users and access to the instance. Exploitation required the encrypted assertions feature to be enabled, and the attacker would require direct network access as well as a signed SAML response or metadata document. This vulnerability affected all versions of GitHub Enterprise Server prior to 3.15 and was fixed in versions 3.11.16, 3.12.10, 3.13.5, and 3.14.2. This vulnerability was reported via the GitHub Bug Bounty program.

BDU:2024-08158

Опубликовано: 10 окт. 2024 г.
Обновлено: 17 июн. 2026 г.
EPSS: 25,6 % · 97-й процентиль
CWE: CWE-347

Инструменты для отчёта

JSON

Оценка срочности

В плане

Включите в обычный цикл установки исправлений.

CVSS: 38 / 40 · 9.5 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 8 / 30 · 25,6 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: нет
Техническое влияние: полное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: —
CNA · GitHub_P: 9,5; NVD ещё не выставил свою оценку; показана оценка CNA.

CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L/R:U/V:C/RE:M/U:Red

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Есть PoC, боевого модуля нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
github	enterprise server	cpe:2.3:a:github:enterprise_server

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_P). Не зависят от анализа CPE в NVD и обычно опережают его.

GitHub Enterprise Server
- 3.11.0 и новее · до 3.11.15 включительнозатронута · semverисправлено в 3.11.16
- 3.12.0 и новее · до 3.12.9 включительнозатронута · semverисправлено в 3.12.10
- 3.13.0 и новее · до 3.13.4 включительнозатронута · semverисправлено в 3.13.5
- 3.14.0 и новее · до 3.14.1 включительнозатронута · semverисправлено в 3.14.2

Затронутые версии · NVD (4)

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

github enterprise serverдо 3.11.16
github enterprise server3.12.0 и новее · до 3.12.10
github enterprise server3.13.0 и новее · до 3.13.5
github enterprise server3.14.0 и новее · до 3.14.2

Тот же продукт

github: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2024-0200Unsafe Reflection in Github Enterprise Server leading to Command Injection
61На этой неделе
CVE-2024-0507Privilege Escalation by Code Injection in the Management Console in GitHub Enterprise Server
55В плане
CVE-2026-3854Remote code execution via git push option injection in GitHub Enterprise Server
47В плане

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2024-826323 сент. 2024 г. · An improper privilege management vulnerability allowed arbitrary workflows to be committed using an improperly scoped PAT through the use…
24Наблюдать
← РаньшеCVE-2024-877023 сент. 2024 г. · A Cross-Site Scripting (XSS) vulnerability was identified in the repository transfer feature of GitHub Enterprise Server, which allows…
23Наблюдать
Позже →CVE-2024-953911 окт. 2024 г. · An information disclosure vulnerability was identified in GitHub Enterprise Server via attacker uploaded asset URL allowing the attacker to…
22Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
GitHub Enterprise Server	3.11.16	Вендор (CNA)
GitHub Enterprise Server	3.12.10	Вендор (CNA)
GitHub Enterprise Server	3.13.5	Вендор (CNA)
GitHub Enterprise Server	3.14.2	Вендор (CNA)

Статус эксплойта

Есть proof of concept

Существует публичный PoC или сигнатура обнаружения. Знание об эксплойте доступно; не откладывайте установку исправлений.

Доказательство

Шаблон обнаружения Nuclei ×1

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Шаблон обнаружения Nuclei	Шаблон Nuclei CVE-2024-9487	—

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

SecureSAML.comнашёл

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2024-6800с разницей 51 дн.An XML signature wrapping vulnerability was present in GitHub Enterprise Server (GHES) when using SAML authentication with specific…
38Наблюдать
CVE-2025-23369с разницей 103 дн.Improper Verification of Cryptographic Signature in GitHub Enterprise Server Allows Signature Spoofing by Improper Validation
31Наблюдать

Охват bug bounty

Вендор продукта присутствует в публичной программе. Сопоставление по имени; проверьте текст scope в программе.

В записи нет: ссылки на коммит или PR с исправлением.

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Требуются особые условия, например определённое время или конфигурация.

В случае успеха

Конфиденциальность
Целостность
Доступность

Вектор атаки: Сеть
Сложность атаки: Высокая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: X

Класс уязвимости (CWE)

CWE-347 · Improper Verification of Cryptographic Signature

Вектор CVSS

CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:U/V:C/RE:M/U:Red

nvd-secondary

Первопричина

Проверяющая сторона берёт алгоритм проверки из заголовка самого токена. В результате недоверенные данные сами задают правило своей проверки.

Ошибка в коде

Весь класс CWE-347

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

1const claims = jwt.verify(token, publicKey);

Исправленный код

1const claims = jwt.verify(token, publicKey, {
2  algorithms: ["RS256"],
3  issuer: "https://id.example.com",
4  audience: "portal",
5});

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Техники ATT&CK

—

Журнал изменений (1)

Исправление✗ → ✓28 сент. 2026 г., 22:11 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

docs.github.com/en/enterprise-server@3.11/admin/release-notes#3.11.16

Показать все источники (ещё 3)

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: GitHub_P

CVE.org (CNA)11 окт. 2024 г., 15:34 UTC
CISA ADP11 окт. 2024 г., 15:34 UTC
NVD17 июн. 2026 г., 04:24 UTC
FIRST EPSS12 нояб. 2026 г., 00:00 UTC
Nuclei13 нояб. 2026 г., 03:18 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.