isagoakira/ghes-cve-scannerScannt GitHub-Enterprise-Server-Instanzen nach CVE-2026-3854 und CVE-2026-4821 und bietet versionsbasierte Erkennung mit Batch-Scanning und mehreren Ausgabeformaten.
Erkennt, ob GitHub Enterprise Server (GHES)-Instanzen von CVE-2026-3854 und CVE-2026-4821 betroffen sind.
Git Push RCE — Die Komponente babeld bereinigt Semikolons in Git-Push-Optionen nicht, was die Ausführung von Remote-Code ermöglicht.
Betroffene Versionen:
| Major | Betroffener Bereich | Minimale sichere Version |
|---|
| 3.14.x | <= 3.14.24 | 3.14.25 |
| 3.15.x | <= 3.15.19 | 3.15.20 |
| 3.16.x | <= 3.16.15 | 3.16.16 |
| 3.17.x | <= 3.17.12 | 3.17.13 |
| 3.18.x | <= 3.18.6 | 3.18.7 |
| 3.19.x | <= 3.19.3 | 3.19.4 |
| 3.20.x+ | Nicht betroffen | — |
Management Console Proxy Injection — Proxy-Konfigurationsfelder bereinigen Shell-Metazeichen nicht.
Betroffene Versionen:
Behoben in: 3.20.1, 3.15.21
pip install ghes-cve-scanner
git clone https://github.com/isagoakira/ghes-cve-scanner.git
cd ghes-cve-scanner
pip install -e .
python scanner.py scan https://ghes.company.com
python scanner.py scan-batch instances.csv -o report.html
url,ip,port
https://ghes1.company.com,10.0.1.1,443
https://ghes2.company.com,10.0.1.2,443
| Option | Beschreibung | Standard |
|---|---|---|
--timeout N | HTTP-Timeout in Sekunden | 5 |
--retries N | Anzahl der Wiederholungsversuche | 2 |
--verbose, -v | Ausführliche Ausgabe aktivieren | false |
| Option | Beschreibung |
|---|---|
url | GHES-Instanz-URL |
--cve-only CVE_ID | Nur angegebene CVE scannen |
--format, -f | Ausgabeformat (console/json/csv/html) |
--output, -o | Pfad der Ausgabedatei |
--exit-code | Exit-Codes aktivieren |
| Option | Beschreibung |
|---|---|
file | Pfad der CSV-Datei |
--url-column N | URL-Spaltenindex |
--ip-column N | IP-Spaltenindex |
--port-column N | Port-Spaltenindex |
--format, -f | Ausgabeformat |
--output, -o | Pfad der Ausgabedatei |
--workers N | Maximale parallele Threads |
--exit-code | Exit-Codes aktivieren |
| Code | Bedeutung |
|---|---|
| 0 | Alle Instanzen sind sicher |
| 1 | Mindestens eine Instanz ist verwundbar |
| 2 | Mindestens eine Instanz konnte nicht gescannt werden |
| GHES-Version | CVE-2026-3854 | CVE-2026-4821 |
|---|---|---|
| 3.14.0 - 3.14.24 | VERWUNDBAR | VERWUNDBAR |
| 3.14.25+ | SICHER | VERWUNDBAR |
| 3.15.0 - 3.15.20 | VERWUNDBAR | VERWUNDBAR |
| 3.15.21+ | SICHER | SICHER |
| 3.16.0 - 3.16.15 | VERWUNDBAR | VERWUNDBAR |
| 3.16.16+ | SICHER | VERWUNDBAR |
| 3.17.0 - 3.17.12 | VERWUNDBAR | VERWUNDBAR |
| 3.17.13+ | SICHER | VERWUNDBAR |
| 3.18.0 - 3.18.6 | VERWUNDBAR | VERWUNDBAR |
| 3.18.7+ | SICHER | VERWUNDBAR |
| 3.19.0 - 3.19.3 | VERWUNDBAR | VERWUNDBAR |
| 3.19.4+ | SICHER | VERWUNDBAR |
| 3.20.0 | SICHER | VERWUNDBAR |
| 3.20.1+ | SICHER | SICHER |
# Einzelinstanz-Scan
./examples/single_instance.sh https://ghes.company.com
# Batch-Scan
./examples/batch_scan.sh instances.csv report.html
# CI-Integration
# Siehe examples/ci_integration.sh
MIT-Lizenz