La ingeniería inversa con IA descubre un error fatal en GitHub

GitHub Ayer se anunció CVE-2026-3854, una vulnerabilidad de alta gravedad (8.7 CVSS) identificada en GitHub Enterprise Server que permitiría a un atacante impulsar el acceso a un repositorio para lograr la ejecución remota de código. GitHub dijo en uno Publicación de blog que la vulnerabilidad también afectó a github.com, GitHub Enterprise Cloud, GitHub Enterprise Cloud con residencia de datos y GitHub Enterprise Cloud con usuarios administrados empresariales.

La empresa de seguridad en la nube Wiz informó la vulnerabilidad el 4 de marzo a través de GitHub. Recompensa de errores Programa. GitHub dijo que validó el hallazgo en menos de dos horas, envió una solución a github.com y, después de una investigación, concluyó que no se había producido ningún abuso.

Si bien generalmente vale la pena señalar una falla en la ejecución remota de código, las circunstancias aquí son particularmente notables, como explicó Wiz en su publicación. Publicación de blog. Es «una de las primeras vulnerabilidades críticas descubiertas utilizando IA en binarios de código cerrado, lo que destaca un cambio en la forma en que se identifican estas vulnerabilidades».

Relacionado:Una nueva ola de extensiones GlassWorm VS Code se está extendiendo por la cadena de suministro

Así funciona CVE-2026-3854

Como lo expresó Alexis Wales de GitHub en el blog de divulgación de la compañía, el código impulsado por los usuarios en GitHub pasa a través de múltiples servicios internos. Los metadatos, como el tipo de repositorio y el entorno al que se deben transferir, se pasan entre servicios mediante un protocolo interno.

«La vulnerabilidad aprovechó la forma en que se manejaban en estos metadatos las opciones de inserción de Git proporcionadas por el usuario. Las opciones de inserción son una característica intencional de Git que permite a los clientes enviar cadenas de clave-valor al servidor durante una inserción», escribió. «Sin embargo, los valores proporcionados por el usuario se integraron en los metadatos internos sin una desinfección suficiente. Debido a que el formato de metadatos internos utilizaba un delimitador que también podría aparecer en la entrada del usuario, un atacante podría inyectar campos adicionales que el servicio descendente interpretaría como valores internos confiables».

Wiz ha demostrado que un atacante puede encadenar varios de estos valores para eludir diversas protecciones y restricciones internas en la ejecución remota de código.

GitHub y Wiz recomiendan que los clientes de GitHub Enterprise Server actualicen a una versión fija (3.14.24, 3.15.19, 3.16.15, 3.17.12, 3.18.6 y 3.19.3); A diferencia de otros productos afectados, Enterprise Server requiere un usuario autenticado con acceso push al parche. GitHub Enterprise Cloud, GitHub Enterprise Cloud con usuarios administrados empresariales, GitHub Enterprise Cloud con residencia de datos y github.com han sido parcheados y no se requiere la intervención del usuario.

En la publicación del blog de Wiz, el investigador de seguridad Sagi Tzadik instó a los usuarios afectados a actualizar, señalando que el 88% de las instancias seguían siendo vulnerables en el momento de la publicación.

Relacionado:El acceso de un empleado de Vercel a una herramienta de inteligencia artificial provocó una violación de datos

Detección de vulnerabilidades mediante ingeniería inversa mediante IA

Tzadik escribió que Wiz había escaneado previamente vulnerabilidades en GitHub Enterprise Server, pero «extraer e inspeccionar el gran volumen de archivos binarios de caja negra compilados que ejecutan este canal ha requerido históricamente una cantidad desproporcionada de tiempo y esfuerzo manual».

Introduzca IDA MCP Impulsado por IA Asistente de ingeniería inversa de Vibe código. Le permitió a Wiz hacer lo que antes era «demasiado costoso», explicó el blog, como analizar rápidamente los archivos binarios compilados de GitHub, reconstruir registros internos e identificar sistemáticamente dónde la entrada del usuario podría influir en el comportamiento del servidor.

En un correo electrónico, Tzadik le dice a Dark Reading que Wiz “ha estado persiguiendo este objetivo desde septiembre de 2024”, pero no ha podido justificar los recursos necesarios para el trabajo de ingeniería inversa. «Probablemente habrían sido necesarios semanas, tal vez incluso meses, de tiempo dedicado y concentración. Con la ayuda de herramientas de inteligencia artificial, tomó menos de 48 horas pasar de la idea a un exploit funcional», afirma.

El elemento de código cerrado de GitHub también es importante, dice el investigador, porque el software de código cerrado históricamente ha presentado los mayores riesgos y ambigüedades de seguridad. «A medida que los últimos modelos de IA han mejorado, se ha vuelto mucho más fácil, rápido y económico hacer cosas como aplicar ingeniería inversa a binarios de código cerrado o crear un exploit funcional a partir de un identificador CVE y un hash de confirmación de Git como entrada», explica Tzadik. «La escala también es un factor: mientras que los investigadores solían trabajar en un número limitado de proyectos a la vez, hoy es posible ejecutar procesos automatizados en múltiples objetivos al mismo tiempo».

Relacionado:Corea del Norte utiliza ClickFix para apuntar a los datos de los usuarios de macOS