Lỗ hổng thực thi mã từ xa đã được vá trong GitHub Enterprise Server

Vừa qua, GitHub đã cập nhật bản vá để khắc phục lỗ hổng thực thi mã từ xa (RCE) trong nhiều phiên bản Enterprise Server.

Được theo dõi với tên gọi CVE-2025-3509 (điểm CVSS: 7.1), lỗ hổng này có thể cho phép kẻ tấn công khai thác pre-receive hook (đây là một loại Git hook, là một tập lệnh được thực thi trên máy chủ Git trước khi bất kỳ thay đổi nào được áp dụng vào kho repository đích, khi một người dùng đẩy dữ liệu lên) để liên kết với các cổng động và có sẵn.

GitHub giải thích: “Lỗ hổng CVE-2025-3509 chỉ có thể khai thác trong các điều kiện hoạt động cụ thể, chẳng hạn như trong quá trình vá lỗi nóng (hot patching) và yêu cầu quyền của quản trị viên trang web hoặc người dùng có đặc quyền để sửa đổi kho lưu trữ có chứa pre-receive hooks”.

Nền tảng thuộc sở hữu của Microsoft cho biết bản cập nhật bảo mật ban đầu vẫn còn lỗi, do đó kẻ tấn công có thể khai thác trong một số trường hợp nhất định, ngay sau đó GitHub đã phát hành bản vá mới. Việc khai thác thành công CVE-2025-3509 có thể cho phép kẻ tấn công thực thi mã tùy ý và leo thang đặc quyền, có khả năng dẫn đến xâm phạm toàn bộ hệ thống.

Theo GitHub, tất cả các bản phát hành Enterprise Server trước 3.18 đều bị ảnh hưởng. Các bản vá lỗi để giải quyết lỗ hổng này đã được cập nhật trong Enterprise Server với các phiên bản 3.17.1, 3.16.4, 3.15.8, 3.14.13 và 3.13.16.

GitHub cho biết lỗ hổng bảo mật này đã được báo cáo thông qua chương trình bug bounty và không đề cập đến việc khai thác lỗ hổng trong thực tế.