2.21

Enterprise Server 2.22 release notes

3.0

Enterprise Server 2.22.18

Download

July, 27, 2021

📣 This is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • Packages have been updated to the latest security versions.

  • A significant number of 503 errors were being created if the scheduled job to sync vulnerabilities with GitHub.com attempted to run when dependency graph was not enabled and content analysis was enabled.

  • Unauthenticated HTTP proxy for the pages containers build was not supported for any users that use HTTP proxies.

  • The logs for babeld now include a cmd field for HTTP ref advertisement requests instead of only including it during the negotiation requests.

  • On a freshly set up GitHub Enterprise Server without any users, an attacker could create the first admin user.

  • Custom firewall rules are removed during the upgrade process.

  • Git LFS tracked files uploaded through the web interface are incorrectly added directly to the repository.

  • Issues cannot be closed if they contain a permalink to a blob in the same repository, where the blob's file path is longer than 255 characters.

  • When "Users can search GitHub.com" is enabled with GitHub Connect, issues in private and internal repositories are not included in GitHub.com search results.

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.17

Download

July, 14, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • HIGH: A path traversal vulnerability was identified in GitHub Enterprise Server that could be exploited when building a GitHub Pages site. User-controlled configuration options used by GitHub Pages were not sufficiently restricted and made it possible to read files on the GitHub Enterprise Server instance. To exploit this vulnerability, an attacker would need permission to create and build a GitHub Pages site on the GitHub Enterprise Server instance. This vulnerability affected all versions of GitHub Enterprise Server prior to 3.1.3 and has been assigned CVE-2021-22867. This vulnerability was reported via the GitHub Bug Bounty program.

  • Packages have been updated to the latest security versions.

  • ghe-cluster-config-node-init would fail during cluster setup if HTTP proxy is enabled.

  • Collectd would not resolve the forwarding destination hostname after the initial startup.

  • The job that purged stale deleted repositories could fail to make progress if some of those repositories were protected from deletion by legal holds.

  • Git pushes could result in a 500 Internal Server Error during the user reconciliation process on instances using LDAP authentication mode.

  • A significant number of 503 errors were logged every time a user visited a repository's /settings page if the dependency graph was not enabled.

  • Improved the efficiency of config apply by skipping IP allow firewall rules that had not changed, which saved significant time on large clusters.

  • On a freshly set up GitHub Enterprise Server without any users, an attacker could create the first admin user.

  • Custom firewall rules are removed during the upgrade process.

  • Git LFS tracked files uploaded through the web interface are incorrectly added directly to the repository.

  • Issues cannot be closed if they contain a permalink to a blob in the same repository, where the blob's file path is longer than 255 characters.

  • When "Users can search GitHub.com" is enabled with GitHub Connect, issues in private and internal repositories are not included in GitHub.com search results.

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.16

Download

June, 24, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • Packages have been updated to the latest security versions.

  • The sshd service would sometimes fail to start on instances running on Google Cloud Platform.

  • Old upgrade files would persist on the user disk, sometimes resulting in out of space conditions.

  • An export archive would silently fail to import pull requests if they contained review requests from teams not present in the archive.

  • On a freshly set up GitHub Enterprise Server without any users, an attacker could create the first admin user.

  • Custom firewall rules are removed during the upgrade process.

  • Git LFS tracked files uploaded through the web interface are incorrectly added directly to the repository.

  • Issues cannot be closed if they contain a permalink to a blob in the same repository, where the blob's file path is longer than 255 characters.

  • When "Users can search GitHub.com" is enabled with GitHub Connect, issues in private and internal repositories are not included in GitHub.com search results.

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.15

Download

June, 10, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • Packages have been updated to the latest security versions.

  • Import failures of organizations or repositories from non-GitHub sources could produce an undefined method '[]' for nil:NilClass error.

  • GitHub profile names might have changed unintentionally when using SAML authentication, if the GitHub profile name did not match the value of the attribute mapped to the Full name field in the Management Console.

  • Users of the GraphQL API can query the public field closingIssuesReferences on the PullRequest object. This field retrieves issues that will be automatically closed when the related pull request is merged. This approach will also allow this data to be migrated in future, as part of a higher fidelity migration process.

  • On a freshly set up GitHub Enterprise Server without any users, an attacker could create the first admin user.

  • Custom firewall rules are removed during the upgrade process.

  • Git LFS tracked files uploaded through the web interface are incorrectly added directly to the repository.

  • Issues cannot be closed if they contain a permalink to a blob in the same repository, where the blob's file path is longer than 255 characters.

  • When "Users can search GitHub.com" is enabled with GitHub Connect, issues in private and internal repositories are not included in GitHub.com search results.

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.14

Download

May, 25, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • 中: 特定の環境下で、TeamあるいはOrganizationから削除されたユーザは、オープンな既存のPull Requestを持つブランチへの書き込みアクセス権を持ったままになることがあります。

  • パッケージは最新のセキュリティバージョンにアップデートされました。

  • MySQLでの通常のレプリケーションの遅延で警告が生じました。

  • "Create Whitelist Entry"ボタンを使って管理者が追加したIPアドレスが、ロックアウトされたままになることがあります。

  • spokesdが"fixing placement skipped"というフレーズを含む過剰なログのエントリを生成しました。

  • 4ヶ月以上経過したチェックアノテーションがアーカイブされます。

  • 新しくセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理ユーザを作成できました。

  • カスタムのファイアウォールのルールは、アップグレードの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • 同じリポジトリ内のファイルパスが255文字を超えるblobへのパーマリンクを含むIssueをクローズできませんでした。

  • GitHub Connectで"Users can search GitHub.com"が有効化されている場合、GitHub.comの検索結果にプライベート及びインターナルリポジトリのIssueが含まれません。

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.13

Download

May, 13, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • 高: GitHub Enterprise Serverにおいて、GitHub Appのユーザ認証Webフローの間に、承認の際にユーザに表示される以上の権限が付与されてしまうUIの表現ミスの脆弱性が特定されました。この脆弱性を突くには、攻撃者はインスタンス上にGitHub Appを作成し、ユーザがそのアプリケーションをWeb認証フローを通じて認可する必要があります。最初の認可の際にはすべての権限が適切に付与されますが、特定の環境下では、GitHub Appに追加のユーザレベルの権限が設定された後、ユーザが認可フローに再アクセスすると、それらの追加権限が表示されないことがあり、ユーザが潜在的に意図していた以上の権限が付与されることにつながります。この脆弱性は3.0.7以前のGitHub Enterprise Server 3.0.x及び2.22.13以前の2.22.xに影響します。これはバージョン3.07及び2.22.13で修正されました。この脆弱性にはCVE-2021-22866が割り当てられ、GitHub Bug Bounty Programを通じて報告されました。

  • パッケージは最新のセキュリティバージョンにアップデートされました。

  • Orchestratorの自動フェイルオーバーが、設定の適用フェーズに有効化されることがあります。

  • リポジトリのメンテナ権限を持つユーザに、リポジトリのPagesの設定ページにおいて成功したページビルドの代わりにメール検証の警告が表示されました。

  • ワイルドカードルールのコードオーナーは、後のルールがそのパスに対して優先されるものであっても、コードオーナーバッジの所有者のリストに間違って追加されます。

  • OpenAPIのドキュメンテーションが無効なヘッダを参照しています。

  • HAProxyのリロード時の設定変更に対するログを追加しました。

  • リポジトリ作成に対するログを追加しました。

  • 新しくセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理ユーザを作成できました。

  • カスタムのファイアウォールのルールは、アップグレードの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • 同じリポジトリ内のファイルパスが255文字を超えるblobへのパーマリンクを含むIssueをクローズできませんでした。

  • GitHub Connectで"Users can search GitHub.com"が有効化されている場合、GitHub.comの検索結果にプライベート及びインターナルリポジトリのIssueが含まれません。

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.12

Download

April, 28, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • パッケージは最新のセキュリティバージョンにアップデートされました。

  • アップグレード中に、cleanup nomad jobの後プロセスが無期限に一時停止されます。

  • ghe-cluster-failoverTrilogy::Error: trilogy_connectというエラーメッセージで失敗します。

  • ghe-cluster-status-mysqlがフェイルオーバーに関する警告をエラーとして表示します。

  • MySQLのレプリケーションで実行されるセットアップスクリプトは、データベースのフェイルオーバーの際に不要なデータベースの再シードを引き起こすことがありました。

  • config-applyは、不要なrake db:migrateの呼び出しのために必要以上に時間がかかることがありました。

  • オーケストレーターは、プライマリに接続できない場合のシーディングフェーズ中に、プライマリからレプリケーションをしていないMySQLレプリカにフェイルオーバーしてしまうことがありました。

  • エラーのあるOrganizationもしくはプロジェクトが移行をブロックし、除外できませんでした。

  • 3つ以上のストレージホストを持つお客様が、空のノードではなく最も使われているディスクが選択されるために、ディザスタリカバリクラスタへリストアできませんでした。

  • プリフライトチェックでは、デフォルトですべてのAWSのインスタンスタイプが許可されていました。

  • 新しくセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理ユーザを作成できました。

  • カスタムのファイアウォールのルールは、アップグレードの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • 同じリポジトリ内のファイルパスが255文字を超えるblobへのパーマリンクを含むIssueをクローズできませんでした。

  • GitHub Connectで"Users can search GitHub.com"が有効化されている場合、GitHub.comの検索結果にプライベート及びインターナルリポジトリのIssueが含まれません。

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.11

Download

April, 14, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • パッケージは最新のセキュリティバージョンにアップデートされました。

  • レプリカの昇格中にjq: error (at <stdin>:0): Cannot index number with string "settings"という警告メッセージが生じることがあります。

  • MySQLのレプリカがプライマリへの接続に失敗することによって、継続的なバックアップのクラスタへのリストアが失敗することがありました。

  • Treelightsコンテナのメモリ不足によって、構文強調が失敗することがありました。

  • /settings/emails ページにアクセスすると、ログアウトしてログインしなおしたときに不適切なリダイレクトの原因となりうる状態が保存されます。

  • vulnerable_version_ranges内に大文字のパッケージ名を持つアドバイザリを持つ一部のコンポーネントで、依存関係グラフのアラートが表示されませんでした。

  • GitHubインテグレーションアプリケーションは、Issueコメント内のat-メンションで直接メンションされたときにTeamに通知できませんでした。

  • ghe-migratorでインポートエラーが生じた際に、プロセス全体が中断され、ログに十分なコンテキストが含まれないことがあります。

  • 新しくセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理ユーザを作成できました。

  • カスタムのファイアウォールのルールは、アップグレードの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • 同じリポジトリ内のファイルパスが255文字を超えるblobへのパーマリンクを含むIssueをクローズできませんでした。

  • GitHub Connectで"Users can search GitHub.com"が有効化されている場合、GitHub.comの検索結果にプライベート及びインターナルリポジトリのIssueが含まれません。

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.10

Download

April, 01, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • 高: GitHub AppのWeb認証フローから生成されたアクセストークンに対し、適切な権限が許可されていなくてもREST APIを通じてプライベートなリポジトリのメタデータを読めるようにしてしまう、不適切なアクセス制御の脆弱性がGitHub Enterprise Serverで特定されました。この脆弱性を利用するには、攻撃者はそのインスタンス上でGitHub Appを作成し、Web認証フローを通じてそのアプリケーションを認証するユーザが必要です。返されるプライベートリポジトリのメタデータは、そのトークンが特定するユーザが所有するリポジトリに限定されます。この脆弱性は3.0.4以前のすべてのバージョンのGitHub Enterprise Serverに影響し、3.0.4、2.22.10、2.21.18で修正されました。この脆弱性にはCVE-2021-22865が割り当てられ、 GitHub Bug Bounty Programを通じて報告されました。

  • パッケージは最新のセキュリティバージョンにアップデートされました。

  • GitHub Enterprise 11.10.x以前で設定されたタイムゾーンが一部のサービスで利用されず、デフォルトのUTC時間になっていました。

  • ログローテーションの一部としてサービスが新しいログファイルに移行せず、ディスクの使用量が増大しました。

  • インターナルリポジトリの検索結果上のラベルが"Internal"ではなく"Private"と表示されました。

  • 新しくセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理ユーザを作成できました。

  • カスタムのファイアウォールのルールは、アップグレードの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • 同じリポジトリ内のファイルパスが255文字を超えるblobへのパーマリンクを含むIssueをクローズできませんでした。

  • GitHub Connectで"Users can search GitHub.com"が有効化されている場合、GitHub.comの検索結果にプライベート及びインターナルリポジトリのIssueが含まれません。

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.9

Download

March, 23, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

複数のお客様に影響する重大なバグのため、ダウンロードは無効になりました。修正は次回のパッチで利用可能になります。

  • 高: GitHubPagesのサイトをビルドする際に利用される可能性があるリモートコード実行の脆弱性が、GitHub Enterprise Serverで特定されました。GitHub Pagesが使用するユーザが制御する設定オプションが十分に厳密ではなく、環境変数を上書きできてしまい、GitHub Enterprise Serverインスタンス上でコマンドを実行できてしまいます。この脆弱性を利用するには、攻撃者はGitHub Enterprise Serverインスタンス上でGitHub Pagesのサイトを作成してビルドする権限を持っていなければなりません。この脆弱性は3.0.3以前のすべてのバージョンのGitHub Enterprise Serverに影響し、3.0.3、2.22.9、2.21.17で修正されました。この脆弱性はGitHub Bug Bountyプログラムを通じて報告され、CVE-2021-22864が割り当てられました。

  • パッケージは最新のセキュリティバージョンにアップデートされました。

  • ghe-cluster-config-initを実行すると、クラスタが動作しなくなることがありました。

  • システムがHAProxyのPIDを見失うことがありました。

  • 成功したフェイルオーバーの後、mysql-failoverの警告が無期限に表示されました。

  • ghe-cluster-config-initの実行でバックグラウンドジョブの終了コードが完全に考慮されておらず、プリフライトチェックが不適切に処理されることにつながっていました。

  • リポジトリのSettingsページの左側のナビゲーションに、Security & Analysisのリンクが表示されませんでした。

  • GitHub Packagesを無効化した後、HTTP 500エラーレスポンスを返すOrganizationのページがあります。

  • GitHub Enterprise Server 3.0に含まれているのを同じ再起動ポリシーを実装することによって、normadサービスの信頼性を改善しました。

  • consulとnormadのbootstrap_expectに相対的な値を使用することによって、クラスタは少数のノードがダウンしている場合でもブートストラップできます。

  • ログが、時間に加えてサイズに基づいてローテートされます。

  • ghe-cluster-statusコマンドにkafka-liteを追加しました。

  • 新しくセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理ユーザを作成できました。

  • カスタムのファイアウォールのルールは、アップグレードの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • 同じリポジトリ内のファイルパスが255文字を超えるblobへのパーマリンクを含むIssueをクローズできませんでした。

  • GitHub Connectで"Users can search GitHub.com"が有効化されている場合、GitHub.comの検索結果にプライベート及びインターナルリポジトリのIssueが含まれません。

  • ログのローテーションが新しいログファイルへの移行をサービスに通知するのに失敗し、古いログファイルが使われ続け、最終的にルートディスクの領域が枯渇してしまうことがあります。 この問題を緩和し、回避するために、以下のコマンドを管理シェル (SSH)で実行するか、 GitHub Enterprise SupportあるいはGitHub Premium Supportに連絡して支援を求めてください。

    printf "PATH=/usr/local/sbin:/usr/local/bin:/usr/local/share/enterprise:/usr/sbin:/usr/bin:/sbin:/bin\n29,59 * * * * root /usr/sbin/logrotate /etc/logrotate.conf\n" | sudo sponge /etc/cron.d/logrotate
    sudo /usr/sbin/logrotate -f /etc/logrotate.conf
    
  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.8

Download

March, 16, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • パッケージは最新のセキュリティバージョンにアップデートされました。

  • Systemdのジャーナルログが複数の場所で複製されました。

  • サイト管理者がプライベートリポジトリから参照されているIssueを見ようとすると、500エラーページが返されることがありました。

  • GitHub Enterprise Serverから、リポジトリのファイルがないリポジトリアーカイブをインポートすると、エラーで失敗します。

  • 新しくセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理ユーザを作成できました。

  • カスタムのファイアウォールのルールは、アップグレードの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • 同じリポジトリ内のファイルパスが255文字を超えるblobへのパーマリンクを含むIssueをクローズできませんでした。

  • GitHub Connectで"Users can search GitHub.com"が有効化されている場合、GitHub.comの検索結果にプライベート及びインターナルリポジトリのIssueが含まれません。

  • ユーザは、アバターのようなアセットがロードされないことや、コードのプッシュ/プルの失敗を体験するかもしれません。これは、haproxy-cluster-proxyサービス内のPIDミスマッチによって生じることがあります。影響されたインスタンスがあるかは、以下のようにして判断します。

    単一インスタンス

    1. 以下を管理シェル (SSH)で実行してください:

      if [ $(cat /var/run/haproxy-cluster-proxy.pid) -ne $(systemctl show --property MainPID --value haproxy-cluster-proxy) ]; then echo 'Main PID of haproxy-cluster-proxy does not match /var/run/haproxy-cluster-proxy.pid'; fi
      
    2. ミスマッチがあると表示されたら、インスタンスを再起動してください。

    クラスタもしくはHigh Availability構成

    1. 以下を管理シェル (SSH)で実行してください:

      ghe-cluster-each -- 'if [ $(cat /var/run/haproxy-cluster-proxy.pid) -ne $(systemctl show --property MainPID --value haproxy-cluster-proxy) ]; then echo 'Main PID of haproxy-cluster-proxy does not match /var/run/haproxy-cluster-proxy.pid'; fi'
      
    2. 1つ以上のノードが影響されていると表示されたら、影響されているノードを再起動してください。

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.7

Download

March, 02, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • 高: 特別な細工が行われたPull RequestやREST APIのリクエストを通じて、認可されていないリポジトリへの書き込みアクセスを、インスタンスの認証されたユーザが取得できてしまう、不適切なアクセス制御の脆弱性がGitHub Enterprise Serverで特定されました。攻撃者はターゲットのリポジトリをフォークできなければなりませんが、これはOrganizationが所有しているプライベートリポジトリではデフォルトで無効化されている設定です。必須のPull Requestレビューやステータスチェックといったブランチ保護で、さらなるレビューや検証なしに未認可のコミットがマージされることは避けられます。この脆弱性にはCVE-2021-22861が割り当てられました。この問題は、GitHub Bug Bounty Programを通じて報告されました。

  • 高: 適切な認可なしに、Pull Requestのメンテナのコラボレーション権限を修正できる、不適切なアクセス制御の脆弱性がGitHub Enterprise Serverで特定されました。この脆弱性を突くことで、攻撃者は自分がメンテナになっているリポジトリでオープンされたPull Requestのheadブランチへのアクセスを得ることができます。Organizationが所有するプライベートリポジトリではフォークがデフォルトで無効になっており、この脆弱性を避けることができます。加えて、必須のPull Requestレビューやステータスチェックといったブランチ保護で、さらなるレビューや検証なしに未認可のコミットがマージされることは避けられます。この脆弱性にはCVE-2021-22863が割り当てられました。この問題は、GitHub Bug Bounty Programを通じて報告されました。

  • 高: GitHubPagesのサイトをビルドする際に利用される可能性があるリモートコード実行の脆弱性が、GitHub Enterprise Serverで特定されました。GitHub Pagesが使用する下位層のパーサーのユーザが制御する設定が十分に厳密ではなく、GitHub Enterprise Serverインスタンス上でコマンドを実行することができてしまいます。この脆弱性を利用するには、攻撃者はGitHub Enterprise Serverインスタンス上でGitHub Pagesのサイトを作成してビルドする権限を持っていなければなりません。この脆弱性にはCVE-2020-10519が割り当てられ、GitHub Bug Bounty Programを通じて報告されました。

  • 中: GitHub PagesのビルドからのGitHubトークンがログに残ることがあります。

  • 低: CVNブリック時に対する特別に細工されたリクエストが、失敗までに長時間の待ちを発生させ、サービス拒否(DoS)につながることがあります。

  • パッケージは最新のセキュリティバージョンにアップデートされました。

  • ロードバランサーのヘルスチェックによって、babeldのログがPROXYプロトコルに関するエラーで埋め尽くされてしまうことがあります。

  • GitHub Enterprise Backup Utilitiesがスナップショットを取る際に、情報提供のメッセージが意図せずエラーとして記録され、そのためにcronジョブによってスケジュールされたstderrへの出力を待ち受けているバックアップの際に、不要なメールが送信されてしまいます。

  • 大規模なバックアップをリストアする際に、Redisのメモリ枯渇に関する例外ログが、ディスクフルによってリストアを失敗させることがあります。

  • 新しいインスタンスを初めてセットアップする際に、"Configure as Replica"を選択するとレプリケーションを開始することができなくなります。

  • GitHub Actionsが有効化されていると、管理コンソールでメンテナンスモードの無効化に失敗します。

  • Wikiページを編集する際に、保存ボタンをクリックすると500エラーが返されることがあります。

  • サブジェクトの別名に複数の名前がある証明書を使ってS/MIME署名されたコミットで、誤ってコミットバッジに"Unverified"と表示されます。

  • サスペンドされたユーザがTeamに追加されると、メールが送信されます。

  • LDAP認証を設定されたインスタンス上でGitの操作を実行したユーザに500エラーが返されました。

  • バックグラウンドジョブのremove_org_member_package_accessが管理コンソールから見え、継続的に増加します。

  • リポジトリが大量のマニフェストを持っていると、You have reached the maximum number of allowed manifest files (20) for this repositoryというエラーがInsights -> Dependency graphタブに表示されます。詳しい情報については可視化の制限を参照してください。

  • 以前のライセンスファイルとは異なるシート数の新しいライセンスファイルをアップロードすると、シート数の際がEnterpriseアカウントのSettings -> Licenseページで正しく表示されませんでした。

  • Enterpriseアカウント設定にある"Prevent repository admins from changing anonymous Git read access"チェックボックスが、正常に有効化または無効化できませんでした。

  • GitHub Pagesのビルドが失敗した場合、メール通知にサポートの場所への正しくないリンクが含まれました。

  • 閏年に、月曜のコントリビューションアクティビティを表示させようとすると404レスポンスが返されました。

  • AWS EC2 r5bインスタンスタイプのサポートを追加しました。

  • ジョブの配分をさらに均等にするために、バックグラウンドのキューの優先順位を調整しました。

  • 新しくセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理ユーザを作成できました。

  • カスタムのファイアウォールのルールは、アップグレードの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • 同じリポジトリ内のファイルパスが255文字を超えるblobへのパーマリンクを含むIssueをクローズできませんでした。

  • GitHub Connectで"Users can search GitHub.com"が有効化されている場合、GitHub.comの検索結果にプライベート及びインターナルリポジトリのIssueが含まれません。

  • ユーザは、アバターのようなアセットがロードされないことや、コードのプッシュ/プルの失敗を体験するかもしれません。これは、haproxy-cluster-proxyサービス内のPIDミスマッチによって生じることがあります。影響されたインスタンスがあるかは、以下のようにして判断します。

    単一インスタンス

    1. 以下を管理シェル (SSH)で実行してください:

      if [ $(cat /var/run/haproxy-cluster-proxy.pid) -ne $(systemctl show --property MainPID --value haproxy-cluster-proxy) ]; then echo 'Main PID of haproxy-cluster-proxy does not match /var/run/haproxy-cluster-proxy.pid'; fi
      
    2. ミスマッチがあると表示されたら、インスタンスを再起動してください。

    クラスタもしくはHigh Availability構成

    1. 以下を管理シェル (SSH)で実行してください:

      ghe-cluster-each -- 'if [ $(cat /var/run/haproxy-cluster-proxy.pid) -ne $(systemctl show --property MainPID --value haproxy-cluster-proxy) ]; then echo 'Main PID of haproxy-cluster-proxy does not match /var/run/haproxy-cluster-proxy.pid'; fi'
      
    2. 1つ以上のノードが影響されていると表示されたら、影響されているノードを再起動してください。

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.6

Download

December, 17, 2020

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • 低: SVNブリッジへの特別に細工されたリクエストによって引き起こされる高いCPU使用率によって、サービス拒否(DoS)が引き起こされる可能性がありました。

  • パッケージが最新のセキュリティバージョンに更新されました。

  • zipアーカイブや生のファイルのような、一部のファイルリソースに対するリクエストがリダイレクトのループに入ってしまうことがありました。

  • タイムアウトによって、一部のIssueやPull Requestの検索が完全な検索結果を返せないことがありました。

  • 小さな画面で、非アルファベットの文字を含むカスタムタブが、正しく表示されませんでした。

  • 下位の動作によって、Git LFSが有効化されたリポジトリへのコンテンツのプッシュが失敗していました。

  • Webインターフェース経由でのアクセスの際に、まれな状況で問題が生じて500エラーになることがありました。

  • 新たにセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理者ユーザを作成できました。

  • カスタムのファイアウォールルールがアップデートの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • ファイルパスが255文字以上の場合、同じリポジトリ内のblobへのパーマリンクが含まれていると、Issueをクローズできません。

  • GitHub Connectで"Users can search GitHub.com"が有効化されていると、プライベート及びインターナルリポジトリのIssueがGitHub.comの検索結果に含まれません。

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.5

Download

December, 03, 2020

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • ブートストラップ時のレース条件により、認可サービスが不健全として検出され、再起動されることにつながりました。

  • Elasticsearchのアップグレードのプロセスが、ghe-diagnosticsに捉えられませんでした。

  • アップグレードされたHigh Availability設定でGitHub Actionsを有効化すると、レプリケーションでエラーが生じました。

  • 下位の動作により、ホットパッチアップグレードのプロセス中に、サービスが利用できなくなりました

  • アクティブなレプリカに接続するユーザに、ライブアップデートのwebsocketへの接続でエラーが返されます。

  • ログ転送SSL証明書の一部が正しく適用されませんでした。

  • サスペンドされたユーザがTeamあるいはOrganizationから削除されると、そのユーザにメール通知が送信されました。

  • SSH証明書の適用方法が、OrganizationとBusiness間で整合していませんでした。

  • 不正確なパスワードの利用のためにアカウントにレート制限が適用された場合に、最大で24時間ロックアウトされることがありました。

  • 多くの参照を持つリポジトリ上のPull Requestの同期が、ワーカーキューを遅れさせることがありました。

  • 特定のページにアクセスしようとした後に、ローカルのユーザ名とパスワードで(ビルトイン認証)サインインすると、ユーザは意図したアクセス先ではなくホームページに送られました。

  • ビルトインの認証を内部的なSAMLアイデンティティプロバイダで利用しているGHESインスタンスにおいて、関連づけられたメールアドレスのないユーザはWebインターフェースからコミットを作成できませんでした。

  • 新たにセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理者ユーザを作成できました。

  • カスタムのファイアウォールルールがアップデートの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • ファイルパスが255文字以上の場合、同じリポジトリ内のblobへのパーマリンクが含まれていると、Issueをクローズできません。

  • GitHub Connectで"Users can search GitHub.com"が有効化されていると、プライベート及びインターナルリポジトリのIssueがGitHub.comの検索結果に含まれません。

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.4

Download

November, 17, 2020

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • パッケージが最新のセキュリティバージョンに更新されました。

  • baneldログに秒とマイクロ秒の間のセパレータが欠けていました。

  • ホットパッチでGHESをアップグレードした後、ghe-actions-precheck及びghe-packages-precheckコマンドが"docker load" accepts no argumentsというエラーで失敗します。

  • Enterpriseアカウントの"Repository visibility change"ポリシーが"Enabled"に設定されている場合、OrganizationオーナーがOrganization内のリポジトリの可視性を変更できませんでした。

  • 監査ログが実際のソースIDアドレスではなく、127.0.0.1に起因するものとされることがあります。

  • 新たにセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理者ユーザを作成できました。

  • カスタムのファイアウォールルールがアップデートの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • ファイルパスが255文字以上の場合、同じリポジトリ内のblobへのパーマリンクが含まれていると、Issueをクローズできません。

  • GitHub Connectで"Users can search GitHub.com"が有効化されていると、プライベート及びインターナルリポジトリのIssueがGitHub.comの検索結果に含まれません。

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.3

Download

November, 03, 2020

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • 低: SVNブリッジへの特別に細工されたリクエストによって引き起こされる高いCPU使用率によって、SVNブリッジサービスでサービス拒否(DoS)が引き起こされる可能性がありました。(2020-11-16更新)

  • 低: 不正確なトークンの検証によって、認証中のトークンのマッチのためのエントロピーが減少しました。分析からは、実際には大きなセキュリティ上のリスクはないことが示されています。

  • パッケージが最新のセキュリティバージョンに更新されました。

  • 2.22.0を実行しているインスタンスで以前にGitHub Actionsが有効化されており、2.22.1もしくは2.22.2へアップグレードすると、GitHub Actionsの起動に失敗することがあります。

  • High Availabilityのレプリカをセットアップする際に、GitHub Actionsの設定ファイルがレプリカにコピーされず、そのためにghe-repl-promoteの間にエラーが生じる可能性があります。

  • 新たにセットアップされた2.22.1あるいは2.22.2のインスタンス、もしくは2.22.1あるいは2.22.2へのアップグレード後、Organizationのダッシュボード上のアクティビティフィードが更新されなくなります。

  • 非ASCIIキャラクタを含むファイル名のIssueテンプレートを編集すると、"500 Internal Server Error"で失敗します。

  • バックグラウンドジョブのメトリック収集方式のために、CPU使用率が増大しました。(2020-11-03更新)

  • 新たにセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理者ユーザを作成できました。

  • カスタムのファイアウォールルールがアップデートの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • ファイルパスが255文字以上の場合、同じリポジトリ内のblobへのパーマリンクが含まれていると、Issueをクローズできません。

  • GitHub Connectで"Users can search GitHub.com"が有効化されていると、プライベート及びインターナルリポジトリのIssueがGitHub.comの検索結果に含まれません。

  • 監査ログが実際のソースIDアドレスではなく、127.0.0.1に起因するものとされることがあります。(--更新)

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.2

Download

October, 20, 2020

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • パッケージが最新のセキュリティバージョンに更新されました。

  • GitHub Actionsの設定中にストレージアカウント設定の検証に失敗した場合、新たに試行する前にghe-actions-teardownの実行が必要でした。

  • カスタムのプロキシ設定が、GitHub Actionsの環境に悪影響を及ぼすことがありました。

  • eth0のアドレス変更時に、Nomad及びConsulがレスポンスを返さなくなることがありました。

  • 自己署名証明書を使用した場合、GitHub Actionsの設定の際にGHESがSSL検証の例外を起こすことがありました。

  • +あるいは/キャラクタをブランチ名に含むブランチからGitHub Actionを利用すると、Unable to resolve actionというエラーになりました。

  • Enterpriseアカウントの"Confirm two-factor requirement policy"メッセージが正しくありませんでした。

  • 100MBを超える特定のリクエストで、Kafkaのバッファが過剰に割り当てられることがありました。

  • 新たにセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理者ユーザを作成できました。

  • カスタムのファイアウォールルールがアップデートの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • ファイルパスが255文字以上の場合、同じリポジトリ内のblobへのパーマリンクが含まれていると、Issueをクローズできません。

  • GitHub Connectで"Users can search GitHub.com"が有効化されていると、プライベート及びインターナルリポジトリのIssueがGitHub.comの検索結果に含まれません。

  • 2.22.0を実行しているインスタンスで以前にGitHub Actionsが有効化されており、2.22.2へアップグレードすると、GitHub Actionsの起動に失敗することがあります。(2020-10-23更新)

  • 新たにセットアップされた2.22.2のインスタンス、もしくは2.22.2へのアップグレード後、Organizationのダッシュボード上のアクティビティフィードが更新されなくなります。(2020-10-27更新)

  • 監査ログが実際のソースIDアドレスではなく、127.0.0.1に起因するものとされることがあります。(2020-11-02更新)

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.1

Download

October, 09, 2020

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

  • : DSA-4715-1に対処するためにImageMagickがアップデートされました。

  • OAuthアクセストークンをリフレッシュするためのGitHub Appのインテグレーションからのリクエストが、リフレッシュトークンを作成するのに使われたものとは異なる、有効なOAuthクライアントIDとクライアントシークレットで送信された場合に受け付けられます。

  • LDAPディレクトリのユーザ名を標準化すると既存のGHESアカウントのログインになってしまうユーザが、その既存のアカウントとして認証されることがありました。

  • パッケージが最新のセキュリティバージョンに更新されました。

  • 管理コンソールのNameID Fortmatドロップダウンが、"persistent"に設定された後に"unspecified"にリセットされます。

  • ホットパッチを使用したアップグレードが'libdbi1' was not foundというエラーで失敗することがありました。

  • 管理コンソール での設定の保存によって、TLS/SSLの証明書及びキーファイルに改行を追加してしまい、不必要に再ロードされるサービスが生じました。

  • 依存関係グラフのシステムログがローテートされず、無制限にストレージを消費できてしまいました。

  • MS SQL Serverのパフォーマンスグラフは、レプリカが選択されている場合でも、インスタンスからの統計を表示します。

  • ghe-actions-precheckは、Actionsが有効化されていない場合、ストレージチェックを実行せず、何も示さずに終了してしまいます。

  • Resqueのワーカーのオーバーライドする設定が使われていると、アップグレードに失敗することがありました。

  • コンテナ内で実行されるサービスに、ログをジャーナルに送信しないものがありました。

  • GitHubセキュリティアドバイザリへのリンクが、GitHub.comではなくGitHub Enterprise Serverインスタンスのホスト名を持つURLを使い、ユーザを存在しないURLにアクセスさせました。

  • ghe-migratorでリポジトリをインポートする際に、不整合なデータが存在していると、予期しない例外が生じることがありました。

  • Enterpriseアカウントのセキュリティ設定ページは、使用されている認証モードがビルトインの2要素認証をサポートしていない場合、"Two-factor authentication"設定に対して"View your organizations' current configurations"リンクを表示しました。

  • OAuthリフレッシュトークンは、早期に削除されます。

  • 検索の修復タスクは、設定の移行フェーズの間に例外を生成します。

  • 環境によって、GitHub Appsの設定ページで"Beta Features"が表示されませんでした。

  • ghe-migratorを使ってPRレビューリクエストをインポートする際に、削除されたユーザに関連付けられたレコードによって関係性を持たないデータベースレコードが残ります。

  • ghe-migratorでユーザをインポートする際に、システムによって生成されたメールアドレスが100文字以上の長さになっていると、"Emails is invalid"エラーが生じます。

  • webhookのアクティビティのログが大量のディスク領域を使い、ルートディスクが一杯になってしまいます。

  • 読み取りが他のノードに転送されるため、High Availabilityのレプリカのインスタンスで、Gitのクローン及びフェッチのパフォーマンスが低下しました。

  • ユーザもしくはOrganizationのGitHub Pagesサイトのためのリポジトリの設定ページが"500 Internal Server Error"で失敗します。

  • リポジトリネットワークのメンテナンス操作が、runningの状態で停止することがありました。

  • コードスキャンニングの結果のアップロードの直後に1つのリポジトリを削除すると、すべてのリポジトリのコードスキャンニングの結果の処理が停止することがありました。

  • 同時に大量のコードスキャンニングの結果がサブミットされると、バッチの処理がタイムアウトし、コードスキャンニングの結果の処理が停止することがありました。

  • マニフェストからのGitHub Appsの作成が失敗します。

  • SAML認証を使っていて、GitHubのユーザ名が管理コンソールのusernameフィールドにマップされた属性の値と一致しない場合に、GitHubのユーザ名が意図せずに変更されてしまいました。

  • AWS EC2のインスタンスタイプm5.16xlargeのサポートが追加されました。

  • ghe-migratorアーカイブのSSHフィンガープリントはいつでも計算できるので、必須ではなくなりました。

  • GitHub Appマニフェストにrequest_oauth_on_installフィールドが含まれるようになりました。

  • 新たにセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理者ユーザを作成できました。

  • カスタムのファイアウォールルールがアップデートの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • ファイルパスが255文字以上の場合、同じリポジトリ内のblobへのパーマリンクが含まれていると、Issueをクローズできません。

  • GitHub Connectで"Users can search GitHub.com"が有効化されていると、プライベート及びインターナルリポジトリのIssueがGitHub.comの検索結果に含まれません。

  • 元々のバックアップソースでGitHub Actionsが有効化されていなかった場合に、データをGitHub Actionsが有効化されているインスタンスにリストアすると、設定の更新に失敗します。

  • 2.22.0を実行しているインスタンスで以前にGitHub Actionsが有効化されており、2.22.1へアップグレードすると、GitHub Actionsの起動に失敗することがあります。(2020-10-23更新)

  • 新たにセットアップされた2.22.1のインスタンス、もしくは2.22.1へのアップグレード後、Organizationのダッシュボード上のアクティビティフィードが更新されなくなります。(2020-10-27更新)

  • 監査ログが実際のソースIDアドレスではなく、127.0.0.1に起因するものとされることがあります。(2020-11-02更新)

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Enterprise Server 2.22.0

Download

September, 23, 2020

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. 最新のセキュリティ、パフォーマンス、バグフィックスのために、最新のリリースをお使いください。

GitHubはGitHub Enterprise Server 2.22.0を紹介できることを嬉しく思います。

  • 保留中のメール招待があると、保留中のコラボレータを表示するためのstafftoolsページが500 Internal Server Errorを表示しました。

  • stafftools中のリポジトリヘルスチェックが、高負荷のリポジトリで不正確な結果を返すことがありました。

  • メールの招待を受諾しようとするログインユーザに404 Not Foundエラーが返されることがありました。

  • 名前が"repositories."で始まるリポジトリにユーザがアクセスしようとすると、リポジトリの概要ページの代わりにオーナーの"Repositories"タブにリダイレクトされました。

  • ダッシュボードタイムラインのラベルが十分なコントラストを持っていませんでした。

  • GitHub Enterprise Server 2.19の非推奨の予定

    • GitHub Enterprise Server 2.19は2020年11月12日に非推奨となります これは、この日以降は重大なセキュリティの問題に対してであってもパッチリリースが行われなくなるということです。より優れたパフォーマンス、改善されたセキュリティ、新しい機能のために、GitHub Enterprise Serverの最新バージョンへのアップグレードをできるだけ早く行ってください。

  • 旧来のGitHub App webhookイベントの非推奨化

    • GitHub Enterprise Server 2.21.0から、2つの旧来のGitHub Appsに関連するwebhookイベントが非推奨となり、GitHub Enterprise Server 2.25.0で削除されます。非推奨となったイベントのintegration_installationintegration_installation_repositoriesには、サポートされることになる同等のイベントがあります。詳細な情報は非推奨化のアナウンスのblogポストにあります。

  • 旧来のGitHub Appsのエンドポイントの非推奨化

    • GitHub Enterprise Server 2.21.0から、インストールアクセストークンを作成するための旧来のGitHub Appsのエンドポイントが非推奨になり、GitHub Enterprise Server 2.25.0で削除されます。詳細な情報は非推奨化のアナウンスのblogポストにあります。

  • OAuth Application APIの非推奨化

    • GitHubは、パスパラメータとしてaccess_tokenを含むOAuthのアプリケーションエンドポイントをサポートしなくなりました。access_tokenをリクエストのボディに移すことにより、OAuth Appsのためのトークンをセキュアに管理できるようにする、新しいエンドポイントが導入されます。非推奨にはなりましたが、これらのエンドポイントはこのバージョンではまだ利用可能です。これらのエンドポイントは、GitHub Enterprise Server 3.4で削除しようとしています。詳細については非推奨化のアナウンスのblogポストを参照してください。

  • 新たにセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理者ユーザを作成できました。

  • カスタムのファイアウォールルールがアップデートの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • ファイルパスが255文字以上の場合、同じリポジトリ内のblobへのパーマリンクが含まれていると、Issueをクローズできません。

  • GitHub Connectで"Users can search GitHub.com"が有効化されていると、プライベート及びインターナルリポジトリのIssueがGitHub.comの検索結果に含まれません。

  • 管理コンソールのName ID Fortmatドロップダウンが、インスタンスを"persistent"に設定した後に"unspecified"にリセットされます。

  • ユーザもしくはOrganizationのGitHub Pagesサイトのためのリポジトリの設定ページが"500 Internal Server Error"で失敗します。

  • 読み取りが他のノードに転送されるため、High Availabilityのレプリカのインスタンスで、Gitのクローン及びフェッチのパフォーマンスが低下することがあります。

  • マニフェストからのGitHub Appの作成が失敗します。この問題を回避するために、ユーザはGitHub Appの作成の手動の指示に従うことができます。

  • SAML認証を使っていて、GitHubのユーザ名が管理コンソールのusernameフィールドにマップされた属性の値と一致しない場合に、GitHubのユーザ名が意図せずに変更されてしまうことがあります。

  • 新たにセットアップされた2.22.0のインスタンス、もしくは2.22.0へのアップグレード後、Organizationのダッシュボード上のアクティビティフィードが更新されなくなります。(2020-10-27更新)

  • 監査ログが実際のソースIDアドレスではなく、127.0.0.1に起因するものとされることがあります。(2020-11-02更新)

  • When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

このドキュメントは役立ちましたか?プライバシーポリシー

これらのドキュメントを素晴らしいものにするのを手伝ってください!

GitHubのすべてのドキュメントはオープンソースです。間違っていたり、はっきりしないところがありましたか?Pull Requestをお送りください。

コントリビューションを行う

OR, コントリビューションの方法を学んでください。

問題がまだ解決していませんか?

GitHubコミュニティで質問するサポートへの連絡