CVE-2024-1359
— 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：GitHub Enterprise Server 存在 **命令注入** 漏洞。
💥 **后果**：攻击者可绕过权限控制，直接获取 **管理员 SSH 访问权限**，彻底接管服务器。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-20（输入验证不足）。
🔧 **缺陷点**：系统在处理特定请求时，未对输入数据进行严格过滤，导致恶意命令被注入执行。
Q3影响谁？（版本/组件）
🏢 **厂商**：GitHub。
📦 **产品**：Enterprise Server。
📌 **涉及版本**：3.8, 3.9, 3.10, 3.11 系列（需查看具体补丁版本）。
Q4黑客能干啥？（权限/数据）
👑 **权限提升**：从 **编辑者 (Editor)** 角色直接跃升至 **管理员 (Admin)**。
🔓 **访问能力**：获得 **SSH 访问权**，可执行任意系统命令，完全控制底层设备。
Q5利用门槛高吗？（认证/配置）
🔐 **认证要求**：需要 **高权限 (PR:H)**，即攻击者需拥有 **编辑者角色** 账号。
🎯 **攻击复杂度**：**低 (AC:L)**，无需用户交互 (UI:N)，利用门槛相对较低。
Q6有现成Exp吗？（PoC/在野利用）
📦 **PoC**：当前数据源中 **暂无** 公开的 PoC 代码。
🌍 **在野利用**：暂无明确在野利用报告，但鉴于 CVSS 评分极高，风险不容忽视。
Q7怎么自查？（特征/扫描）
🔎 **自查重点**：检查 GitHub Enterprise Server 版本是否处于受影响区间。
🛡️ **监控**：关注是否有非授权的 SSH 登录行为或异常的系统命令执行日志。
Q8官方修了吗？（补丁/缓解）
✅ **官方已修复**：GitHub 已发布安全更新。
📝 **参考**：请查阅各版本对应的最新 Release Notes（如 3.8.15, 3.11.5 等）进行升级。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：若无法立即升级，建议 **严格限制** 拥有“编辑者”角色的用户权限。
🚫 **网络隔离**：尽可能限制对管理界面的访问，并启用严格的审计日志监控。
Q10急不急？（优先级建议）
🔥 **优先级**：**极高 (Critical)**。
📊 **CVSS**：9.8 分（满分10）。
💡 **建议**：立即制定补丁计划，优先修复生产环境中的受影响实例，防止权限被滥用。