ドキュメントには頻繁に更新が加えられ、その都度公開されています。本ページの翻訳はまだ未完成な部分があることをご了承ください。最新の情報については、英語のドキュメンテーションをご参照ください。本ページの翻訳に問題がある場合はこちらまでご連絡ください。
2.21

2.22 Release notes

3.0

Enterprise Server 2.22.12

Download

April 28, 2021

📣 This is not the latest release of Enterprise Server. Please use the latest release for the latest security, performance, and bug fixes.

  • Packages have been updated to the latest security versions.

  • During upgrades, the process would pause indefinitely after cleanup nomad job.

  • Failing ghe-cluster-failover with the error message Trilogy::Error: trilogy_connect.

  • ghe-cluster-status-mysql showed warnings about failovers as errors.

  • Setup script running on MySQL replication may have caused unnecessary database reseeding during database failover.

  • config-apply could take longer than necessary due to rake db:migrate being called unnecessarily.

  • Orchestrator could have failed over to a MySQL replica which was not replicating from primary during seeding phase when primary could not be connected.

  • Organizations or projects with errors blocked migration and could not be excluded.

  • Customers with more than three storage hosts were unable to restore to their disaster-recovery cluster due to the fullest disks being selected instead of empty nodes.

  • Preflight checks allow all AWS instance types by default.

  • On a freshly set up GitHub Enterprise Server without any users, an attacker could create the first admin user.

  • Custom firewall rules are not maintained during an upgrade.

  • Git LFS tracked files uploaded through the web interface are incorrectly added directly to the repository.

  • Issues cannot be closed if they contain a permalink to a blob in the same repository where the file path is longer than 255 characters.

  • When "Users can search GitHub.com" is enabled with GitHub Connect, issues in private and internal repositories are not included in GitHub.com search results.

Enterprise Server 2.22.11

Download

April 14, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. Please use the latest release for the latest security, performance, and bug fixes.

  • Packages have been updated to the latest security versions.

  • A warning message jq: error (at <stdin>:0): Cannot index number with string "settings" could occur during replica promotion.

  • Continuously restoring backups to a cluster could fail due to MySQL replicas failing to connect to the primary.

  • Syntax highlighting could fail due to the Treelights container running out of memory.

  • Visiting the /settings/emails page would store state that could cause improper redirects when logging out and logging back in.

  • Dependency graph alerts weren't shown for some components whose advisories have upper case package names in vulnerable_version_ranges.

  • GitHub integration apps were not able to notify teams when mentioned directly via an at-mention in an issue comment.

  • When ghe-migrator encountered import errors, it would sometimes abort the entire process, and the logs did not include enough context.

  • On a freshly set up GitHub Enterprise Server without any users, an attacker could create the first admin user.

  • Custom firewall rules are not maintained during an upgrade.

  • Git LFS tracked files uploaded through the web interface are incorrectly added directly to the repository.

  • Issues cannot be closed if they contain a permalink to a blob in the same repository where the file path is longer than 255 characters.

  • When "Users can search GitHub.com" is enabled with GitHub Connect, issues in private and internal repositories are not included in GitHub.com search results.

Enterprise Server 2.22.10

Download

April 01, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. Please use the latest release for the latest security, performance, and bug fixes.

  • 高: GitHub AppのWeb認証フローから生成されたアクセストークンに対し、適切な権限が許可されていなくてもREST APIを通じてプライベートなリポジトリのメタデータを読めるようにしてしまう、不適切なアクセス制御の脆弱性がGitHub Enterprise Serverで特定されました。この脆弱性を利用するには、攻撃者はそのインスタンス上でGitHub Appを作成し、Web認証フローを通じてそのアプリケーションを認証するユーザが必要です。返されるプライベートリポジトリのメタデータは、そのトークンが特定するユーザが所有するリポジトリに限定されます。この脆弱性は3.0.4以前のすべてのバージョンのGitHub Enterprise Serverに影響し、3.0.4、2.22.10、2.21.18で修正されました。この脆弱性にはCVE-2021-22865が割り当てられ、 GitHub Bug Bounty Programを通じて報告されました。

  • パッケージは最新のセキュリティバージョンにアップデートされました。

  • GitHub Enterprise 11.10.x以前で設定されたタイムゾーンが一部のサービスで利用されず、デフォルトのUTC時間になっていました。

  • ログローテーションの一部としてサービスが新しいログファイルに移行せず、ディスクの使用量が増大しました。

  • インターナルリポジトリの検索結果上のラベルが"Internal"ではなく"Private"と表示されました。

  • 新しくセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理ユーザを作成できました。

  • カスタムのファイアウォールのルールは、アップグレードの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • 同じリポジトリ内のファイルパスが255文字を超えるblobへのパーマリンクを含むIssueをクローズできませんでした。

  • GitHub Connectで"Users can search GitHub.com"が有効化されている場合、GitHub.comの検索結果にプライベート及びインターナルリポジトリのIssueが含まれません。

Enterprise Server 2.22.9

Download

March 23, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. Please use the latest release for the latest security, performance, and bug fixes.

複数のお客様に影響する重大なバグのため、ダウンロードは無効になりました。修正は次回のパッチで利用可能になります。

  • 高: GitHubPagesのサイトをビルドする際に利用される可能性があるリモートコード実行の脆弱性が、GitHub Enterprise Serverで特定されました。GitHub Pagesが使用するユーザが制御する設定オプションが十分に厳密ではなく、環境変数を上書きできてしまい、GitHub Enterprise Serverインスタンス上でコマンドを実行できてしまいます。この脆弱性を利用するには、攻撃者はGitHub Enterprise Serverインスタンス上でGitHub Pagesのサイトを作成してビルドする権限を持っていなければなりません。この脆弱性は3.0.3以前のすべてのバージョンのGitHub Enterprise Serverに影響し、3.0.3、2.22.9、2.21.17で修正されました。この脆弱性はGitHub Bug Bountyプログラムを通じて報告され、CVE-2021-22864が割り当てられました。

  • パッケージは最新のセキュリティバージョンにアップデートされました。

  • ghe-cluster-config-initを実行すると、クラスタが動作しなくなることがありました。

  • システムがHAProxyのPIDを見失うことがありました。

  • 成功したフェイルオーバーの後、mysql-failoverの警告が無期限に表示されました。

  • ghe-cluster-config-initの実行でバックグラウンドジョブの終了コードが完全に考慮されておらず、プリフライトチェックが不適切に処理されることにつながっていました。

  • リポジトリのSettingsページの左側のナビゲーションに、Security & Analysisのリンクが表示されませんでした。

  • GitHub Packagesを無効化した後、HTTP 500エラーレスポンスを返すOrganizationのページがあります。

  • GitHub Enterprise Server 3.0に含まれているのを同じ再起動ポリシーを実装することによって、normadサービスの信頼性を改善しました。

  • consulとnormadのbootstrap_expectに相対的な値を使用することによって、クラスタは少数のノードがダウンしている場合でもブートストラップできます。

  • ログが、時間に加えてサイズに基づいてローテートされます。

  • ghe-cluster-statusコマンドにkafka-liteを追加しました。

  • 新しくセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理ユーザを作成できました。

  • カスタムのファイアウォールのルールは、アップグレードの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • 同じリポジトリ内のファイルパスが255文字を超えるblobへのパーマリンクを含むIssueをクローズできませんでした。

  • GitHub Connectで"Users can search GitHub.com"が有効化されている場合、GitHub.comの検索結果にプライベート及びインターナルリポジトリのIssueが含まれません。

  • ログのローテーションが新しいログファイルへの移行をサービスに通知するのに失敗し、古いログファイルが使われ続け、最終的にルートディスクの領域が枯渇してしまうことがあります。 この問題を緩和し、回避するために、以下のコマンドを管理シェル (SSH)で実行するか、 GitHub Enterprise SupportあるいはGitHub Premium Supportに連絡して支援を求めてください。

    printf "PATH=/usr/local/sbin:/usr/local/bin:/usr/local/share/enterprise:/usr/sbin:/usr/bin:/sbin:/bin\n29,59 * * * * root /usr/sbin/logrotate /etc/logrotate.conf\n" | sudo sponge /etc/cron.d/logrotate
    sudo /usr/sbin/logrotate -f /etc/logrotate.conf
    

Enterprise Server 2.22.8

Download

March 16, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. Please use the latest release for the latest security, performance, and bug fixes.

  • パッケージは最新のセキュリティバージョンにアップデートされました。

  • Systemdのジャーナルログが複数の場所で複製されました。

  • サイト管理者がプライベートリポジトリから参照されているIssueを見ようとすると、500エラーページが返されることがありました。

  • GitHub Enterprise Serverから、リポジトリのファイルがないリポジトリアーカイブをインポートすると、エラーで失敗します。

  • 新しくセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理ユーザを作成できました。

  • カスタムのファイアウォールのルールは、アップグレードの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • 同じリポジトリ内のファイルパスが255文字を超えるblobへのパーマリンクを含むIssueをクローズできませんでした。

  • GitHub Connectで"Users can search GitHub.com"が有効化されている場合、GitHub.comの検索結果にプライベート及びインターナルリポジトリのIssueが含まれません。

  • ユーザは、アバターのようなアセットがロードされないことや、コードのプッシュ/プルの失敗を体験するかもしれません。これは、haproxy-cluster-proxyサービス内のPIDミスマッチによって生じることがあります。影響されたインスタンスがあるかは、以下のようにして判断します。

    単一インスタンス

    1. 以下を管理シェル (SSH)で実行してください:

      if [ $(cat /var/run/haproxy-cluster-proxy.pid) -ne $(systemctl show --property MainPID --value haproxy-cluster-proxy) ]; then echo 'Main PID of haproxy-cluster-proxy does not match /var/run/haproxy-cluster-proxy.pid'; fi
      
    2. ミスマッチがあると表示されたら、インスタンスを再起動してください。

    クラスタもしくはHigh Availability構成

    1. 以下を管理シェル (SSH)で実行してください:

      ghe-cluster-each -- 'if [ $(cat /var/run/haproxy-cluster-proxy.pid) -ne $(systemctl show --property MainPID --value haproxy-cluster-proxy) ]; then echo 'Main PID of haproxy-cluster-proxy does not match /var/run/haproxy-cluster-proxy.pid'; fi'
      
    2. 1つ以上のノードが影響されていると表示されたら、影響されているノードを再起動してください。

Enterprise Server 2.22.7

Download

March 02, 2021

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. Please use the latest release for the latest security, performance, and bug fixes.

  • 高: 特別な細工が行われたPull RequestやREST APIのリクエストを通じて、認可されていないリポジトリへの書き込みアクセスを、インスタンスの認証されたユーザが取得できてしまう、不適切なアクセス制御の脆弱性がGitHub Enterprise Serverで特定されました。攻撃者はターゲットのリポジトリをフォークできなければなりませんが、これはOrganizationが所有しているプライベートリポジトリではデフォルトで無効化されている設定です。必須のPull Requestレビューやステータスチェックといったブランチ保護で、さらなるレビューや検証なしに未認可のコミットがマージされることは避けられます。この脆弱性にはCVE-2021-22861が割り当てられました。この問題は、GitHub Bug Bounty Programを通じて報告されました。

  • 高: 適切な認可なしに、Pull Requestのメンテナのコラボレーション権限を修正できる、不適切なアクセス制御の脆弱性がGitHub Enterprise Serverで特定されました。この脆弱性を突くことで、攻撃者は自分がメンテナになっているリポジトリでオープンされたPull Requestのheadブランチへのアクセスを得ることができます。Organizationが所有するプライベートリポジトリではフォークがデフォルトで無効になっており、この脆弱性を避けることができます。加えて、必須のPull Requestレビューやステータスチェックといったブランチ保護で、さらなるレビューや検証なしに未認可のコミットがマージされることは避けられます。この脆弱性にはCVE-2021-22863が割り当てられました。この問題は、GitHub Bug Bounty Programを通じて報告されました。

  • 高: GitHubPagesのサイトをビルドする際に利用される可能性があるリモートコード実行の脆弱性が、GitHub Enterprise Serverで特定されました。GitHub Pagesが使用する下位層のパーサーのユーザが制御する設定が十分に厳密ではなく、GitHub Enterprise Serverインスタンス上でコマンドを実行することができてしまいます。この脆弱性を利用するには、攻撃者はGitHub Enterprise Serverインスタンス上でGitHub Pagesのサイトを作成してビルドする権限を持っていなければなりません。この脆弱性にはCVE-2020-10519が割り当てられ、GitHub Bug Bounty Programを通じて報告されました。

  • 中: GitHub PagesのビルドからのGitHubトークンがログに残ることがあります。

  • 低: CVNブリック時に対する特別に細工されたリクエストが、失敗までに長時間の待ちを発生させ、サービス拒否(DoS)につながることがあります。

  • パッケージは最新のセキュリティバージョンにアップデートされました。

  • ロードバランサーのヘルスチェックによって、babeldのログがPROXYプロトコルに関するエラーで埋め尽くされてしまうことがあります。

  • GitHub Enterprise Backup Utilitiesがスナップショットを取る際に、情報提供のメッセージが意図せずエラーとして記録され、そのためにcronジョブによってスケジュールされたstderrへの出力を待ち受けているバックアップの際に、不要なメールが送信されてしまいます。

  • 大規模なバックアップをリストアする際に、Redisのメモリ枯渇に関する例外ログが、ディスクフルによってリストアを失敗させることがあります。

  • 新しいインスタンスを初めてセットアップする際に、"Configure as Replica"を選択するとレプリケーションを開始することができなくなります。

  • GitHub Actionsが有効化されていると、管理コンソールでメンテナンスモードの無効化に失敗します。

  • Wikiページを編集する際に、保存ボタンをクリックすると500エラーが返されることがあります。

  • サブジェクトの別名に複数の名前がある証明書を使ってS/MIME署名されたコミットで、誤ってコミットバッジに"Unverified"と表示されます。

  • サスペンドされたユーザがTeamに追加されると、メールが送信されます。

  • LDAP認証を設定されたインスタンス上でGitの操作を実行したユーザに500エラーが返されました。

  • バックグラウンドジョブのremove_org_member_package_accessが管理コンソールから見え、継続的に増加します。

  • リポジトリが大量のマニフェストを持っていると、You have reached the maximum number of allowed manifest files (20) for this repositoryというエラーがInsights -> Dependency graphタブに表示されます。詳しい情報については可視化の制限を参照してください。

  • 以前のライセンスファイルとは異なるシート数の新しいライセンスファイルをアップロードすると、シート数の際がEnterpriseアカウントのSettings -> Licenseページで正しく表示されませんでした。

  • Enterpriseアカウント設定にある"Prevent repository admins from changing anonymous Git read access"チェックボックスが、正常に有効化または無効化できませんでした。

  • GitHub Pagesのビルドが失敗した場合、メール通知にサポートの場所への正しくないリンクが含まれました。

  • 閏年に、月曜のコントリビューションアクティビティを表示させようとすると404レスポンスが返されました。

  • AWS EC2 r5bインスタンスタイプのサポートを追加しました。

  • ジョブの配分をさらに均等にするために、バックグラウンドのキューの優先順位を調整しました。

  • 新しくセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理ユーザを作成できました。

  • カスタムのファイアウォールのルールは、アップグレードの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • 同じリポジトリ内のファイルパスが255文字を超えるblobへのパーマリンクを含むIssueをクローズできませんでした。

  • GitHub Connectで"Users can search GitHub.com"が有効化されている場合、GitHub.comの検索結果にプライベート及びインターナルリポジトリのIssueが含まれません。

  • ユーザは、アバターのようなアセットがロードされないことや、コードのプッシュ/プルの失敗を体験するかもしれません。これは、haproxy-cluster-proxyサービス内のPIDミスマッチによって生じることがあります。影響されたインスタンスがあるかは、以下のようにして判断します。

    単一インスタンス

    1. 以下を管理シェル (SSH)で実行してください:

      if [ $(cat /var/run/haproxy-cluster-proxy.pid) -ne $(systemctl show --property MainPID --value haproxy-cluster-proxy) ]; then echo 'Main PID of haproxy-cluster-proxy does not match /var/run/haproxy-cluster-proxy.pid'; fi
      
    2. ミスマッチがあると表示されたら、インスタンスを再起動してください。

    クラスタもしくはHigh Availability構成

    1. 以下を管理シェル (SSH)で実行してください:

      ghe-cluster-each -- 'if [ $(cat /var/run/haproxy-cluster-proxy.pid) -ne $(systemctl show --property MainPID --value haproxy-cluster-proxy) ]; then echo 'Main PID of haproxy-cluster-proxy does not match /var/run/haproxy-cluster-proxy.pid'; fi'
      
    2. 1つ以上のノードが影響されていると表示されたら、影響されているノードを再起動してください。

Enterprise Server 2.22.6

Download

December 17, 2020

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. Please use the latest release for the latest security, performance, and bug fixes.

  • 低: SVNブリッジへの特別に細工されたリクエストによって引き起こされる高いCPU使用率によって、サービス拒否(DoS)が引き起こされる可能性がありました。

  • パッケージが最新のセキュリティバージョンに更新されました。

  • zipアーカイブや生のファイルのような、一部のファイルリソースに対するリクエストがリダイレクトのループに入ってしまうことがありました。

  • タイムアウトによって、一部のIssueやPull Requestの検索が完全な検索結果を返せないことがありました。

  • 小さな画面で、非アルファベットの文字を含むカスタムタブが、正しく表示されませんでした。

  • 下位の動作によって、Git LFSが有効化されたリポジトリへのコンテンツのプッシュが失敗していました。

  • Webインターフェース経由でのアクセスの際に、まれな状況で問題が生じて500エラーになることがありました。

  • 新たにセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理者ユーザを作成できました。

  • カスタムのファイアウォールルールがアップデートの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • ファイルパスが255文字以上の場合、同じリポジトリ内のblobへのパーマリンクが含まれていると、Issueをクローズできません。

  • GitHub Connectで"Users can search GitHub.com"が有効化されていると、プライベート及びインターナルリポジトリのIssueがGitHub.comの検索結果に含まれません。

Enterprise Server 2.22.5

Download

December 03, 2020

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. Please use the latest release for the latest security, performance, and bug fixes.

  • ブートストラップ時のレース条件により、認可サービスが不健全として検出され、再起動されることにつながりました。

  • Elasticsearchのアップグレードのプロセスが、ghe-diagnosticsに捉えられませんでした。

  • アップグレードされたHigh Availability設定でGitHub Actionsを有効化すると、レプリケーションでエラーが生じました。

  • 下位の動作により、ホットパッチアップグレードのプロセス中に、サービスが利用できなくなりました

  • アクティブなレプリカに接続するユーザに、ライブアップデートのwebsocketへの接続でエラーが返されます。

  • ログ転送SSL証明書の一部が正しく適用されませんでした。

  • サスペンドされたユーザがTeamあるいはOrganizationから削除されると、そのユーザにメール通知が送信されました。

  • SSH証明書の適用方法が、OrganizationとBusiness間で整合していませんでした。

  • 不正確なパスワードの利用のためにアカウントにレート制限が適用された場合に、最大で24時間ロックアウトされることがありました。

  • 多くの参照を持つリポジトリ上のPull Requestの同期が、ワーカーキューを遅れさせることがありました。

  • 特定のページにアクセスしようとした後に、ローカルのユーザ名とパスワードで(ビルトイン認証)サインインすると、ユーザは意図したアクセス先ではなくホームページに送られました。

  • ビルトインの認証を内部的なSAMLアイデンティティプロバイダで利用しているGHESインスタンスにおいて、関連づけられたメールアドレスのないユーザはWebインターフェースからコミットを作成できませんでした。

  • 新たにセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理者ユーザを作成できました。

  • カスタムのファイアウォールルールがアップデートの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • ファイルパスが255文字以上の場合、同じリポジトリ内のblobへのパーマリンクが含まれていると、Issueをクローズできません。

  • GitHub Connectで"Users can search GitHub.com"が有効化されていると、プライベート及びインターナルリポジトリのIssueがGitHub.comの検索結果に含まれません。

Enterprise Server 2.22.4

Download

November 17, 2020

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. Please use the latest release for the latest security, performance, and bug fixes.

  • パッケージが最新のセキュリティバージョンに更新されました。

  • baneldログに秒とマイクロ秒の間のセパレータが欠けていました。

  • ホットパッチでGHESをアップグレードした後、ghe-actions-precheck及びghe-packages-precheckコマンドが"docker load" accepts no argumentsというエラーで失敗します。

  • Enterpriseアカウントの"Repository visibility change"ポリシーが"Enabled"に設定されている場合、OrganizationオーナーがOrganization内のリポジトリの可視性を変更できませんでした。

  • 監査ログが実際のソースIDアドレスではなく、127.0.0.1に起因するものとされることがあります。

  • 新たにセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理者ユーザを作成できました。

  • カスタムのファイアウォールルールがアップデートの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • ファイルパスが255文字以上の場合、同じリポジトリ内のblobへのパーマリンクが含まれていると、Issueをクローズできません。

  • GitHub Connectで"Users can search GitHub.com"が有効化されていると、プライベート及びインターナルリポジトリのIssueがGitHub.comの検索結果に含まれません。

Enterprise Server 2.22.3

Download

November 03, 2020

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. Please use the latest release for the latest security, performance, and bug fixes.

  • 低: SVNブリッジへの特別に細工されたリクエストによって引き起こされる高いCPU使用率によって、SVNブリッジサービスでサービス拒否(DoS)が引き起こされる可能性がありました。(2020-11-16更新)

  • 低: 不正確なトークンの検証によって、認証中のトークンのマッチのためのエントロピーが減少しました。分析からは、実際には大きなセキュリティ上のリスクはないことが示されています。

  • パッケージが最新のセキュリティバージョンに更新されました。

  • 2.22.0を実行しているインスタンスで以前にGitHub Actionsが有効化されており、2.22.1もしくは2.22.2へアップグレードすると、GitHub Actionsの起動に失敗することがあります。

  • High Availabilityのレプリカをセットアップする際に、GitHub Actionsの設定ファイルがレプリカにコピーされず、そのためにghe-repl-promoteの間にエラーが生じる可能性があります。

  • 新たにセットアップされた2.22.1あるいは2.22.2のインスタンス、もしくは2.22.1あるいは2.22.2へのアップグレード後、Organizationのダッシュボード上のアクティビティフィードが更新されなくなります。

  • 非ASCIIキャラクタを含むファイル名のIssueテンプレートを編集すると、"500 Internal Server Error"で失敗します。

  • バックグラウンドジョブのメトリック収集方式のために、CPU使用率が増大しました。(2020-11-03更新)

  • 新たにセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理者ユーザを作成できました。

  • カスタムのファイアウォールルールがアップデートの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • ファイルパスが255文字以上の場合、同じリポジトリ内のblobへのパーマリンクが含まれていると、Issueをクローズできません。

  • GitHub Connectで"Users can search GitHub.com"が有効化されていると、プライベート及びインターナルリポジトリのIssueがGitHub.comの検索結果に含まれません。

  • 監査ログが実際のソースIDアドレスではなく、127.0.0.1に起因するものとされることがあります。(--更新)

Enterprise Server 2.22.2

Download

October 20, 2020

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. Please use the latest release for the latest security, performance, and bug fixes.

  • パッケージが最新のセキュリティバージョンに更新されました。

  • GitHub Actionsの設定中にストレージアカウント設定の検証に失敗した場合、新たに試行する前にghe-actions-teardownの実行が必要でした。

  • カスタムのプロキシ設定が、GitHub Actionsの環境に悪影響を及ぼすことがありました。

  • eth0のアドレス変更時に、Nomad及びConsulがレスポンスを返さなくなることがありました。

  • 自己署名証明書を使用した場合、GitHub Actionsの設定の際にGHESがSSL検証の例外を起こすことがありました。

  • +あるいは/キャラクタをブランチ名に含むブランチからGitHub Actionを利用すると、Unable to resolve actionというエラーになりました。

  • Enterpriseアカウントの"Confirm two-factor requirement policy"メッセージが正しくありませんでした。

  • 100MBを超える特定のリクエストで、Kafkaのバッファが過剰に割り当てられることがありました。

  • 新たにセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理者ユーザを作成できました。

  • カスタムのファイアウォールルールがアップデートの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • ファイルパスが255文字以上の場合、同じリポジトリ内のblobへのパーマリンクが含まれていると、Issueをクローズできません。

  • GitHub Connectで"Users can search GitHub.com"が有効化されていると、プライベート及びインターナルリポジトリのIssueがGitHub.comの検索結果に含まれません。

  • 2.22.0を実行しているインスタンスで以前にGitHub Actionsが有効化されており、2.22.2へアップグレードすると、GitHub Actionsの起動に失敗することがあります。(2020-10-23更新)

  • 新たにセットアップされた2.22.2のインスタンス、もしくは2.22.2へのアップグレード後、Organizationのダッシュボード上のアクティビティフィードが更新されなくなります。(2020-10-27更新)

  • 監査ログが実際のソースIDアドレスではなく、127.0.0.1に起因するものとされることがあります。(2020-11-02更新)

Enterprise Server 2.22.1

Download

October 09, 2020

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. Please use the latest release for the latest security, performance, and bug fixes.

  • : DSA-4715-1に対処するためにImageMagickがアップデートされました。

  • OAuthアクセストークンをリフレッシュするためのGitHub Appのインテグレーションからのリクエストが、リフレッシュトークンを作成するのに使われたものとは異なる、有効なOAuthクライアントIDとクライアントシークレットで送信された場合に受け付けられます。

  • LDAPディレクトリのユーザ名を標準化すると既存のGHESアカウントのログインになってしまうユーザが、その既存のアカウントとして認証されることがありました。

  • パッケージが最新のセキュリティバージョンに更新されました。

  • 管理コンソールのNameID Fortmatドロップダウンが、"persistent"に設定された後に"unspecified"にリセットされます。

  • ホットパッチを使用したアップグレードが'libdbi1' was not foundというエラーで失敗することがありました。

  • 管理コンソール での設定の保存によって、TLS/SSLの証明書及びキーファイルに改行を追加してしまい、不必要に再ロードされるサービスが生じました。

  • 依存関係グラフのシステムログがローテートされず、無制限にストレージを消費できてしまいました。

  • MS SQL Serverのパフォーマンスグラフは、レプリカが選択されている場合でも、インスタンスからの統計を表示します。

  • ghe-actions-precheckは、Actionsが有効化されていない場合、ストレージチェックを実行せず、何も示さずに終了してしまいます。

  • Resqueのワーカーのオーバーライドする設定が使われていると、アップグレードに失敗することがありました。

  • コンテナ内で実行されるサービスに、ログをジャーナルに送信しないものがありました。

  • GitHubセキュリティアドバイザリへのリンクが、GitHub.comではなくGitHub Enterprise Serverインスタンスのホスト名を持つURLを使い、ユーザを存在しないURLにアクセスさせました。

  • ghe-migratorでリポジトリをインポートする際に、不整合なデータが存在していると、予期しない例外が生じることがありました。

  • Enterpriseアカウントのセキュリティ設定ページは、使用されている認証モードがビルトインの2要素認証をサポートしていない場合、"Two-factor authentication"設定に対して"View your organizations' current configurations"リンクを表示しました。

  • OAuthリフレッシュトークンは、早期に削除されます。

  • 検索の修復タスクは、設定の移行フェーズの間に例外を生成します。

  • 環境によって、GitHub Appsの設定ページで"Beta Features"が表示されませんでした。

  • ghe-migratorを使ってPRレビューリクエストをインポートする際に、削除されたユーザに関連付けられたレコードによって関係性を持たないデータベースレコードが残ります。

  • ghe-migratorでユーザをインポートする際に、システムによって生成されたメールアドレスが100文字以上の長さになっていると、"Emails is invalid"エラーが生じます。

  • webhookのアクティビティのログが大量のディスク領域を使い、ルートディスクが一杯になってしまいます。

  • 読み取りが他のノードに転送されるため、High Availabilityのレプリカのインスタンスで、Gitのクローン及びフェッチのパフォーマンスが低下しました。

  • ユーザもしくはOrganizationのGitHub Pagesサイトのためのリポジトリの設定ページが"500 Internal Server Error"で失敗します。

  • リポジトリネットワークのメンテナンス操作が、runningの状態で停止することがありました。

  • コードスキャンニングの結果のアップロードの直後に1つのリポジトリを削除すると、すべてのリポジトリのコードスキャンニングの結果の処理が停止することがありました。

  • 同時に大量のコードスキャンニングの結果がサブミットされると、バッチの処理がタイムアウトし、コードスキャンニングの結果の処理が停止することがありました。

  • マニフェストからのGitHub Appsの作成が失敗します。

  • SAML認証を使っていて、GitHubのユーザ名が管理コンソールのusernameフィールドにマップされた属性の値と一致しない場合に、GitHubのユーザ名が意図せずに変更されてしまいました。

  • AWS EC2のインスタンスタイプm5.16xlargeのサポートが追加されました。

  • ghe-migratorアーカイブのSSHフィンガープリントはいつでも計算できるので、必須ではなくなりました。

  • GitHub Appマニフェストにrequest_oauth_on_installフィールドが含まれるようになりました。

  • 新たにセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理者ユーザを作成できました。

  • カスタムのファイアウォールルールがアップデートの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • ファイルパスが255文字以上の場合、同じリポジトリ内のblobへのパーマリンクが含まれていると、Issueをクローズできません。

  • GitHub Connectで"Users can search GitHub.com"が有効化されていると、プライベート及びインターナルリポジトリのIssueがGitHub.comの検索結果に含まれません。

  • 元々のバックアップソースでGitHub Actionsが有効化されていなかった場合に、データをGitHub Actionsが有効化されているインスタンスにリストアすると、設定の更新に失敗します。

  • 2.22.0を実行しているインスタンスで以前にGitHub Actionsが有効化されており、2.22.1へアップグレードすると、GitHub Actionsの起動に失敗することがあります。(2020-10-23更新)

  • 新たにセットアップされた2.22.1のインスタンス、もしくは2.22.1へのアップグレード後、Organizationのダッシュボード上のアクティビティフィードが更新されなくなります。(2020-10-27更新)

  • 監査ログが実際のソースIDアドレスではなく、127.0.0.1に起因するものとされることがあります。(2020-11-02更新)

Enterprise Server 2.22.0

Download

September 23, 2020

📣 This is not the latest patch release of this release series, and this is not the latest release of Enterprise Server. Please use the latest release for the latest security, performance, and bug fixes.

GitHubはGitHub Enterprise Server 2.22.0を紹介できることを嬉しく思います。

  • 保留中のメール招待があると、保留中のコラボレータを表示するためのstafftoolsページが500 Internal Server Errorを表示しました。

  • stafftools中のリポジトリヘルスチェックが、高負荷のリポジトリで不正確な結果を返すことがありました。

  • メールの招待を受諾しようとするログインユーザに404 Not Foundエラーが返されることがありました。

  • 名前が"repositories."で始まるリポジトリにユーザがアクセスしようとすると、リポジトリの概要ページの代わりにオーナーの"Repositories"タブにリダイレクトされました。

  • ダッシュボードタイムラインのラベルが十分なコントラストを持っていませんでした。

  • GitHub Enterprise Server 2.19の非推奨の予定

    • GitHub Enterprise Server 2.19は2020年11月12日に非推奨となります これは、この日以降は重大なセキュリティの問題に対してであってもパッチリリースが行われなくなるということです。より優れたパフォーマンス、改善されたセキュリティ、新しい機能のために、GitHub Enterprise Serverの最新バージョンへのアップグレードをできるだけ早く行ってください。

  • 旧来のGitHub App webhookイベントの非推奨化

    • GitHub Enterprise Server 2.21.0から、2つの旧来のGitHub Appsに関連するwebhookイベントが非推奨となり、GitHub Enterprise Server 2.25.0で削除されます。非推奨となったイベントのintegration_installationintegration_installation_repositoriesには、サポートされることになる同等のイベントがあります。詳細な情報は非推奨化のアナウンスのblogポストにあります。

  • 旧来のGitHub Appsのエンドポイントの非推奨化

    • GitHub Enterprise Server 2.21.0から、インストールアクセストークンを作成するための旧来のGitHub Appsのエンドポイントが非推奨になり、GitHub Enterprise Server 2.25.0で削除されます。詳細な情報は非推奨化のアナウンスのblogポストにあります。

  • OAuth Application APIの非推奨化

    • GitHubは、パスパラメータとしてaccess_tokenを含むOAuthのアプリケーションエンドポイントをサポートしなくなりました。access_tokenをリクエストのボディに移すことにより、OAuth Appsのためのトークンをセキュアに管理できるようにする、新しいエンドポイントが導入されます。非推奨にはなりましたが、これらのエンドポイントはこのバージョンではまだ利用可能です。これらのエンドポイントは、GitHub Enterprise Server 3.4で削除しようとしています。詳細については非推奨化のアナウンスのblogポストを参照してください。

  • 新たにセットアップされたユーザを持たないGitHub Enterprise Serverで、攻撃者が最初の管理者ユーザを作成できました。

  • カスタムのファイアウォールルールがアップデートの際に維持されません。

  • Git LFSが追跡するファイルWebインターフェースからアップロードされたものが、不正にリポジトリに直接追加されてしまいます。

  • ファイルパスが255文字以上の場合、同じリポジトリ内のblobへのパーマリンクが含まれていると、Issueをクローズできません。

  • GitHub Connectで"Users can search GitHub.com"が有効化されていると、プライベート及びインターナルリポジトリのIssueがGitHub.comの検索結果に含まれません。

  • 管理コンソールのName ID Fortmatドロップダウンが、インスタンスを"persistent"に設定した後に"unspecified"にリセットされます。

  • ユーザもしくはOrganizationのGitHub Pagesサイトのためのリポジトリの設定ページが"500 Internal Server Error"で失敗します。

  • 読み取りが他のノードに転送されるため、High Availabilityのレプリカのインスタンスで、Gitのクローン及びフェッチのパフォーマンスが低下することがあります。

  • マニフェストからのGitHub Appの作成が失敗します。この問題を回避するために、ユーザはGitHub Appの作成の手動の指示に従うことができます。

  • SAML認証を使っていて、GitHubのユーザ名が管理コンソールのusernameフィールドにマップされた属性の値と一致しない場合に、GitHubのユーザ名が意図せずに変更されてしまうことがあります。

  • 新たにセットアップされた2.22.0のインスタンス、もしくは2.22.0へのアップグレード後、Organizationのダッシュボード上のアクティビティフィードが更新されなくなります。(2020-10-27更新)

  • 監査ログは実際のソースIPアドレスの代わりに127.0.0.1に起因する可能性があります。(updated 2020-11-02)

Did this doc help you?

Privacy policy

Help us make these docs great!

All GitHub docs are open source. See something that's wrong or unclear? Submit a pull request.

Make a contribution

OR, learn how to contribute.