Enterprise Server 3.0 release notes

パッケージは最新のセキュリティバージョンにアップデートされました。

パッケージは最新のセキュリティバージョンにアップデートされました。

Pages would become unavailable following a MySQL secret rotation until nginx was manually restarted.

When setting the maintenance schedule with a ISO 8601 date, the actual scheduled time wouldn't match due to the timezone not being transformed to UTC.

The version number would not be correctly updated after a installing a hotpatch using ghe-cluster-each.

Spurious error messages concerning the cloud-config.service would be output to the console.

When using CAS authentication and the "Reactivate suspended users" option was enabled, suspended users were not automatically reactivated.

The GitHub Connect data connection record now includes a count of the number of active and dormant users and the configured dormancy period.

Packages have been updated to the latest security versions. In these updates, Log4j has been updated to version 2.17.1. Note: previous mitigations released in 3.3.1, 3.2.6, 3.1.14, and 3.0.22 are sufficient to address the impact of CVE-2021-44228, CVE-2021-45046, CVE-2021-45105, and CVE-2021-44832 in these versions of GitHub Enterprise Server.

Sanitize more secrets in the generated support bundles

パッケージは最新のセキュリティバージョンにアップデートされました。

Running ghe-config-apply could sometimes fail because of permission issues in /data/user/tmp/pages.

The save button in management console was unreachable by scrolling in lower resolution browsers.

IOPS and Storage Traffic monitoring graphs were not updating after collectd version upgrade.

Some webhook related jobs could generated large amount of logs.

Critical: A remote code execution vulnerability in the Log4j library, identified as CVE-2021-44228, affected all versions of GitHub Enterprise Server prior to 3.3.1. The Log4j library is used in an open source service running on the GitHub Enterprise Server instance. This vulnerability was fixed in GitHub Enterprise Server versions 3.0.22, 3.1.14, 3.2.6, and 3.3.1. For more information, please see this post on the GitHub Blog.

December 17, 2021 update: The fixes in place for this release also mitigate CVE-2021-45046, which was published after this release. No additional upgrade for GitHub Enterprise Server is required to mitigate both CVE-2021-44228 and CVE-2021-45046.

Support bundles could include sensitive files if they met a specific set of conditions.

A UI misrepresentation vulnerability was identified in GitHub Enterprise Server that allowed more permissions to be granted during a GitHub App's user-authorization web flow than was displayed to the user during approval. This vulnerability affected all versions of GitHub Enterprise Server prior to 3.3 and was fixed in versions 3.2.5, 3.1.13, 3.0.21. This vulnerability was reported via the GitHub Bug Bounty program and has been assigned CVE-2021-41598.

A remote code execution vulnerability was identified in GitHub Enterprise Server that could be exploited when building a GitHub Pages site. This vulnerability affected all versions of GitHub Enterprise Server prior to 3.3 and was fixed in versions 3.0.21, 3.1.13, 3.2.5. This vulnerability was reported via the GitHub Bug Bounty program and has been assigned CVE-2021-41599. Updated February 17, 2022.

Running ghe-config-apply could sometimes fail because of permission issues in /data/user/tmp/pages.

A misconfiguration in the Management Console caused scheduling errors.

Docker would hold log files open after a log rotation.

GraphQL requests did not set the GITHUB_USER_IP variable in pre-receive hook environments.

Clarifies explanation of Actions path-style in documentation.

Updates support contact URLs to use the current support site, support.github.com.

パッケージは最新のセキュリティバージョンにアップデートされました。

Pre-receive hooks would fail due to undefined PATH.

Running ghe-repl-setup would return an error: cannot create directory /data/user/elasticsearch: File exists if the instance had previously been configured as a replica.

In large cluster environments, the authentication backend could be unavailable on a subset of frontend nodes.

Some critical services may not have been available on backend nodes in GHES Cluster.

An additional outer layer of gzip compression when creating a cluster support bundle with ghe-cluster-suport-bundle is now turned off by default. This outer compression can optionally be applied with the ghe-cluster-suport-bundle -c command line option.

We have added extra text to the admin console to remind users about the mobile apps' data collection for experience improvement purposes.

The GitHub Connect data connection record now includes a list of enabled GitHub Connect features. [Updated 2021-12-09]

A path traversal vulnerability was identified in GitHub Pages builds on GitHub Enterprise Server that could allow an attacker to read system files. To exploit this vulnerability, an attacker needed permission to create and build a GitHub Pages site on the GitHub Enterprise Server instance. This vulnerability affected all versions of GitHub Enterprise Server prior to 3.3, and was fixed in versions 3.0.19, 3.1.11, and 3.2.3. This vulnerability was reported through the GitHub Bug Bounty program and has been assigned CVE-2021-22870.

パッケージは最新のセキュリティバージョンにアップデートされました。

Some Git operations failed after upgrading a GitHub Enterprise Server 3.x cluster because of the HAProxy configuration.

Unicorn worker counts might have been set incorrectly in clustering mode.

Resqued worker counts might have been set incorrectly in clustering mode.

If Ubuntu's Uncomplicated Firewall (UFW) status was inactive, a client could not clearly see it in the logs.

Some pages and Git-related background jobs might not run in cluster mode with certain cluster configurations.

The enterprise audit log page would not display audit events for secret scanning.

Users were not warned about potentially dangerous bidirectional unicode characters when viewing files. For more information, see "Warning about bidirectional Unicode text" in GitHub ブログ.

Hookshot Go sent distribution type metrics that Collectd could not handle, which caused a ballooning of parsing errors.

Public repositories displayed unexpected results from secret scanning with a type of Unknown Token.

Several known weak SSH public keys have been added to the deny list and can no longer be registered. In addition, versions of GitKraken known to generate weak SSH keys (7.6.x, 7.7.x and 8.0.0) have been blocked from registering new public keys.

パッケージは最新のセキュリティバージョンにアップデートされました。

Several parts of the application were unusable for users who are owners of many organizations.

パッケージが最新のセキュリティバージョンに更新されました。

Custom pre-receive hooks could have failed due to too restrictive virtual memory or CPU time limits.

Attempting to wipe all existing configuration settings with ghe-cleanup-settings failed to restart the Management Console service.

During replication teardown via ghe-repl-teardown Memcached failed to be restarted.

During periods of high load, users would receive HTTP 503 status codes when upstream services failed internal healthchecks.

Pre-receive hook environments were forbidden from calling the cat command via BusyBox on Alpine.

The external database password was logged in plaintext.

An erroneous jq error message may have been displayed when running ghe-config-apply.

Failing over from a primary Cluster datacenter to a secondary Cluster datacenter succeeds, but then failing back over to the original primary Cluster datacenter failed to promote Elasticsearch indicies.

The Site Admin page for repository self-hosted runners returned an HTTP 500.

In some cases, GitHub Enterprise Administrators attempting to view the Dormant users page received 502 Bad Gateway or 504 Gateway Timeout response.

More effectively delete Webhook logs that fall out of the Webhook log retention window.

HIGH: A path traversal vulnerability was identified in GitHub Enterprise Server that could be exploited when building a GitHub Pages site. User-controlled configuration options used by GitHub Pages were not sufficiently restricted and made it possible to read files on the GitHub Enterprise Server instance. To exploit this vulnerability, an attacker would need permission to create and build a GitHub Pages site on the GitHub Enterprise Server instance. This vulnerability affected all versions of GitHub Enterprise Server prior to 3.1.8 and was fixed in 3.1.8, 3.0.16, and 2.22.22. This is the result of an incomplete fix for CVE-2021-22867. This vulnerability was reported via the GitHub Bug Bounty program and has been assigned CVE-2021-22868.

MEDIUM: An improper access control vulnerability in GitHub Enterprise Server allowed a workflow job to execute in a self-hosted runner group it should not have had access to. This affects customers using self-hosted runner groups for access control. A repository with access to one enterprise runner group could access all of the enterprise runner groups within the organization because of improper authentication checks during the request. This could cause code to be run unintentionally by the incorrect runner group. This vulnerability affected GitHub Enterprise Server versions from 3.0.0 to 3.0.15 and 3.1.0 to 3.1.7 and was fixed in 3.0.16 and 3.1.8 releases. It has been assigned CVE-2021-22869.

Resque worker counts were displayed incorrectly during maintenance mode.

Allocated memcached memory could be zero in clustering mode.

Fixes GitHub Pages builds so they take into account the NO_PROXY setting of the appliance. This is relevant to appliances configured with an HTTP proxy only. (update 2021-09-30)

The GitHub Connect configuration of the source instance was always restored to new instances even when the --config option for ghe-restore was not used. This would lead to a conflict with the GitHub Connect connection and license synchronization if both the source and destination instances were online at the same time. The fix also requires updating backup-utils to 3.2.0 or higher. [updated: 2021-11-18]

パッケージは最新のセキュリティバージョンにアップデートされました。

ghe-repl-teardownでUUIDを指定して、新たに追加されたレプリカノードを破棄しようとすると、レプリケーションが開始されていなかった場合にエラーを報告することなく失敗します。

外部プロキシが設定されている場合、GitHub Pagesのビルドがそれを通じて渡されていました。

サブプロセスを生成したカスタムのpre-receive フックの環境にPATH変数が欠如し、"No such file or directory"エラーが生じます。

mysql-auto-failoverが有効化されていると、MySQLがアップグレードの際にフェイルオーバーすることがあります。

パッケージは最新のセキュリティバージョンにアップデートされました。

画像あるいはPull Requestに非常に大きな画像もしくはアニメーションGIFを添付すると失敗します。

自動アップデートに関係するJournaldのメッセージ (Adding h/m/s random time.)が、syslogに記録されました。

bashのサブシェルを使うカスタムのpre-receive フックは、No such file or directoryというエラーを返します。

名前付きパイプ（FIFO）を作成したカスタムのpre-receive フックは、クラッシュもしくはハングし、タイムアウトエラーを生じさせます。

監査ログの高度な検索ページにフィルタを追加しても、適切なファセットプレフィックスと値付きでクエリテキストボックスがリアルタイムで展開されませんでした。

リクエストに失敗する内部APIへのGitフックが、明示的なnilを返す代わりにundefined method body for "success":String (NoMethodError)という例外を返しました。

インテグレーションが削除されると、関係の無いOAuthアプリケーションあるいはインテグレーションも削除されてしまう可能性がありました。

絵文字を含む必須のメッセージが追加された場合、そのメッセージを表示あるいは変更しようとすると500 Internal Server Errorが返されます。

定期的なMSSQLのトランザクションログのスケジュールバックアップを実行することなくGitHub Actionsを有効化すると、ログが無制限に拡大し、アプライアンスのデータディスクの利用可能な領域をすべて消費し、障害につながる可能性があります。

"Repository creation" Organizationの設定に対する変更の監査ログエントリが不正確でした。

ActionController::UnknownFormat例外の過剰なロギングが、不要なディスク消費を招いていました。

255文字以上のLDAP group_dn値によって、Data truncated for column 'group_dn' at row 1というエラーが記録されます。

不正利用レート制限は、セカンダリレート制限と呼ばれるようになりました。これは、これによって制限されるのが必ずしも不正利用とは限らないためです。

パッケージは最新のセキュリティバージョンにアップデートされました。

カスタムのpre-receive フックでerror: object directory /data/user/repositories/0/nw/12/34/56/7890/network.git/objects does not exist; check .git/objects/info/alternatesのようなエラーが生じることがあります。

HTTPプロキシを使用するユーザでは、Pagesのコンテナビルドの認証されていないHTTPプロキシはサポートされていませんでした。

依存関係グラフが有効化されていない場合、ユーザがリポジトリの/settingsページにアクセスするたびに大量の503エラーが記録されました。

インターナルリポジトリは、ユーザがそのリポジトリにTeamを通じて、あるいはコラボレータのステータスを通じて関係があるか、?type=internalパラメータ付きでクエリされた場合にのみ返されました。

失敗したバックグラウンドジョブが無制限のリトライを行い、大きなキューの深さを生じさせることがありました。

依存関係グラフが有効化されておらず、コンテンツ分析が有効化されている状態で、スケジュールジョブがGitHub.comと脆弱性を同期しようとすると、大量の503エラーが発生しました。

babeldのログには、ネゴシエーションリクエストの際だけではなく、HTTP参照広告リクエストのcmdフィールドが含まれるようになりました。

高: GitHubPagesのサイトをビルドする際に利用される可能性があるパストラバーサルの脆弱性が、GitHub Enterprise Serverで特定されました。GitHub Pagesが使用するユーザが制御する設定オプションが十分に厳密ではなく、GitHub Enterprise Serverインスタンス上のファイルを読めてしまいます。この脆弱性を利用するには、攻撃者はGitHub Enterprise Serverインスタンス上でGitHub Pagesのサイトを作成してビルドする権限を持っていなければなりません。この脆弱性は3.1.3以前のすべてのバージョンのGitHub Enterprise Serverに影響し、CVE-2021-22867が割り当てられました。この脆弱性はGitHub Bug Bountyプログラムを通じて報告されました。

パッケージは最新のセキュリティバージョンにアップデートされました。

SAMLの期限切れの日付変数は設定できませんでした。

アプリケーションサービスは、設定の適用の間に健全な状態に入る前、ヘルスチェックに失敗します。

ghe-cluster-config-node-initは、HTTPプロキシが有効化されているとクラスタのセットアップの間に失敗します。

pre-receive フックで、/procがコンテナにマウントされていないためにFailed to resolve full path of the current executableという失敗が生じることがあります。

collectdは、初期のセットアップ後にフォワード先のホスト名を解決しません。

古い柵得除されたリポジトリをパージするジョブは、それらのリポジトリの中に訴訟ホールドによって削除から保護されているものがある場合、処理を進められないことがあります。

git nw-gc --pristineを実行すると、エラーになります。

バックグラウンドジョブが、処理されていないspamキューにキューイングされました。

失敗したPRマージ後にリトライする際に、優先されるマージ方法がリセットされます。

LDAP認証モードを使うインスタンスにおいて、Git pushがユーザ照合プロセス中に500 Internal Server Errorになることがあります。

変更されなかったIP許可ファイアウォールルールをスキップすることによって、設定適用の効率性が改善されました。これは大規模なクラスタでは大きな時間の節約になります。

パッケージは最新のセキュリティバージョンにアップデートされました。

多数のgauge-dependency-graph-api-dispatch_dispatchメトリクスがManagement Consoleに蓄積されることがあります。

Google Cloud Plafform上で動作するインスタンスにおいて、sshdサービスが起動に失敗することがあります。

古いアップグレードファイルがユーザディスクに残り、空き領域がなくなる状況になることがあります。

ログのローテーションが、バックグラウンドジョブを中断させることがあります。

gh-migratorがログの出力に誤ったパスを出力しました。

アーカイブに存在しないTeamからのレビューリクエストが含まれている場合、エクスポートされたアーカイブのインポートは失敗します。

パッケージは最新のセキュリティバージョンにアップデートされました。

インスタンスが設定されたホスト名を使って自己リクエストを発行できなかった場合、Actionsをアップグレードする間にアップグレードのプロセスが失敗することがあります。

SVN 1.7及びそれよりも古いクライアントが、svn co及びsvn exportコマンドを使った場合にエラーを表示しました。

管理シェルを通じてghe-repo <owner>/<reponame>を使ってリポジトリにアクセスすると、ハングします。

アップグレード後、サービスが過剰に頻繁に再起動するために、高負荷の際にユーザからみて可用性が低下しました。これは、nomadの設定と内部サービスの設定間のタイムアウトのミスマッチによって生じます。

インスタンスによっては、GitHub Actionsをセットアップした後にghe-repl-statusを実行するとエラーが生じ、ghe-actions-teardownが失敗します。

状況によっては、ghe-dbconsoleがエラーを返します。

GitHub以外のソースからのOrganizationあるいはリポジトリのインポートの失敗が、undefined method '[]' for nil:NilClassエラーを生じさせることがあります。

SAML認証を使っていて、GitHubのプロフィール名が管理コンソールのFull nameフィールドにマップされる属性の値とマッチしない場合、GitHubのプロフィール名が意図せず変更されてしまうことがあります。

GraphQL APIにおいて、firstPatchedVersionフィールドがSecurityVulnerabilityオブジェクトで利用できるようになりました。

GraphQL APIのユーザが、PullRequestオブジェクトの公開フィールドのclosingIssuesReferencesに対するクエリを行えます。このフィールドは、関連するPull Requestがマージされたときに自動的にクローズされるIssueを取得します。このアプローチは、より忠実度の高い移行プロセスの一部として、このデータが将来移行されることも可能にします。

中: 特定の環境下で、TeamあるいはOrganizationから削除されたユーザは、オープンな既存のPull Requestを持つブランチへの書き込みアクセス権を持ったままになることがあります。

パッケージは最新のセキュリティバージョンにアップデートされました。

初期のインストールプロセスの"Configure Actions and Packages"ページで、管理者が"Test domain settings"ボタンをクリックしてもテストが完了しませんでした。

ghe-btopの実行がcannot find a 'babeld' containerというエラーで失敗しました。

内部及び外部のタイムアウト値のミスマッチのために、アップグレード後にサービスが利用できなくなっていました。

MySQLでの通常のレプリケーションの遅延で警告が生じました。

管理コンソールのGitHub Enterprise Clustering Guideへのリンクが正しくありませんでした。

"Create Whitelist Entry"ボタンを使って管理者が追加したIPアドレスが、ロックアウトされたままになることがあります。

「依存関係グラフ」及び「Dependabotアラート」機能への参照が、それらが有効化されていないリポジトリで表示されました。

/hooksエンドポイントへのHTTP POSTリクエストが、hookIDが正しく設定されていないため、401レスポンスで失敗することがあります。

build-serverがプロセスのクリーンアップに失敗し、それらのプロセスがdefunct状態で残ったままになりました。

spokesdが"fixing placement skipped"というフレーズを含む過剰なログのエントリを生成しました。

4ヶ月以上経過したチェックアノテーションがアーカイブされます。

高: GitHub Enterprise Serverにおいて、GitHub Appのユーザ認証Webフローの間に、承認の際にユーザに表示される以上の権限が付与されてしまうUIの表現ミスの脆弱性が特定されました。この脆弱性を突くには、攻撃者はインスタンス上にGitHub Appを作成し、ユーザがそのアプリケーションをWeb認証フローを通じて認可する必要があります。最初の認可の際にはすべての権限が適切に付与されますが、特定の環境下では、GitHub Appに追加のユーザレベルの権限が設定された後、ユーザが認可フローに再アクセスすると、それらの追加権限が表示されないことがあり、ユーザが潜在的に意図していた以上の権限が付与されることにつながります。この脆弱性は3.0.7以前のGitHub Enterprise Server 3.0.x及び2.22.13以前の2.22.xに影響します。これはバージョン3.07及び2.22.13で修正されました。この脆弱性にはCVE-2021-22866が割り当てられ、GitHub Bug Bounty Programを通じて報告されました。

パッケージは最新のセキュリティバージョンにアップデートされました。

ActionsあるいはPackagesのストレージ設定に含まれたクオートがエラーを引き起こすことがあります。

制約の厳しいファイルサイズあるいはオープンファイル数の制限のために、カスタムのpre-receive フックが失敗することがあります。

Orchestratorの自動フェイルオーバーが、設定の適用フェーズに有効化されることがあります。

リポジトリのメンテナ権限を持つユーザに、リポジトリのPagesの設定ページにおいて成功したページビルドの代わりにメール検証の警告が表示されました。

ワイルドカードルールのコードオーナーは、後のルールがそのパスに対して優先されるものであっても、コードオーナーバッジの所有者のリストに間違って追加されます。

OpenAPIのドキュメンテーションが無効なヘッダを参照しています。

pre-receiveフックを作成あるいは編集する際に、ユーザインターフェースのレース条件によって、リポジトリを選択した後、そのリポジトリ内のファイルがファイルのドロップダウンに展開されないことがありました。

HAProxyのリロード時の設定変更に対するログを追加しました。

リポジトリ作成に対するログを追加しました。

パッケージは最新のセキュリティバージョンにアップデートされました。

アップグレード中に、cleanup nomad jobの後プロセスが無期限に一時停止されます。

ghe-cluster-failoverがTrilogy::Error: trilogy_connectというエラーメッセージで失敗します。

ghe-cluster-status-mysqlがフェイルオーバーに関する警告をエラーとして表示します。

MySQLのレプリケーションで実行されるセットアップスクリプトは、データベースのフェイルオーバーの際に不要なデータベースの再シードを引き起こすことがありました。

アップグレードに、適切にインストールされた最新バージョンのActionsのランナーが含まれません。

github-envの設定でゾンビプロセスが残ることがあります。

config-applyは、不要なrake db:migrateの呼び出しのために必要以上に時間がかかることがありました。

オーケストレーターは、プライマリに接続できない場合のシーディングフェーズ中に、プライマリからレプリケーションをしていないMySQLレプリカにフェイルオーバーしてしまうことがありました。

エラーのあるOrganizationもしくはプロジェクトが移行をブロックし、除外できませんでした。

50以上のOrganizationに属しているユーザで、リポジトリの作成ボタンが無効になっていました。

ブランチを削除すると、削除が成功した場合に何か問題が生じたことを示すエラーメッセージが一時的に表示されます。

rms-packagesインデックスがサイト管理者のダッシュボードに表示されました。

Organizationのオーナーは、フォームで可視性の選択肢が正しく表示されないため、インターナルリポジトリを作成できませんでした。

アクションのスターターワークフローの設定に問題がある場合に、リポジトリのアクションタブが500で表示されました。

3つ以上のストレージホストを持つお客様が、空のノードではなく最も使われているディスクが選択されるために、ディザスタリカバリクラスタへリストアできませんでした。

Code Scanningのバックエンドサービスが、ホットパッチの適用後に確実には起動しませんでした。

プリフライトチェックでは、デフォルトですべてのAWSのインスタンスタイプが許可されていました。

パッケージは最新のセキュリティバージョンにアップデートされました。

ログ転送設定に一部のログが含まれていませんでした。

レプリカの昇格中にjq: error (at <stdin>:0): Cannot index number with string "settings"という警告メッセージが生じることがあります。

MySQLのレプリカがプライマリへの接続に失敗することによって、継続的なバックアップのクラスタへのリストアが失敗することがありました。

カスタムのCA証明書を使用している場合、Pagesが公開されませんでした。

Subdomain Isolationの"Test domain settings"プロンプトに、サブドメインに関連するパッケージが表示されませんでした。

webhookと共に送信されたX-GitHub-Enterprise-Hostヘッダに、そのHTTP POSTのペイロードを送信したGitHub Enterprise Serverインスタンスのホスト名ではなく、ランダムな文字列が含まれていました。

GitHub Actionsが以前に有効化され、アップグレードの前に無効化されていると、2.22.xから3.0.xへのアップグレードが失敗しました。

/settings/emails ページにアクセスすると、ログアウトしてログインしなおしたときに不適切なリダイレクトの原因となりうる状態が保存されます。

GitHubインテグレーションアプリケーションは、Issueコメント内のat-メンションで直接メンションされたときにTeamに通知できませんでした。

Web UIでのreStructuredText (RST) のレンダリングが失敗し、代わりにRSTのマークアップテキストがそのまま表示されます。

依存関係グラフが完全に有効になっていない場合に、Secret Scanningのアラートのメール通知が認可されたユーザに送信されませんでした。

ghe-migratorでインポートエラーが生じた際に、プロセス全体が中断され、ログに十分なコンテキストが含まれないことがあります。

非ASCII文字を含むJupyter notebookのレンダリングに失敗することがありました。

高: GitHub AppのWeb認証フローから生成されたアクセストークンに対し、適切な権限が許可されていなくてもREST APIを通じてプライベートなリポジトリのメタデータを読めるようにしてしまう、不適切なアクセス制御の脆弱性がGitHub Enterprise Serverで特定されました。この脆弱性を利用するには、攻撃者はそのインスタンス上でGitHub Appを作成し、Web認証フローを通じてそのアプリケーションを認証するユーザが必要です。返されるプライベートリポジトリのメタデータは、そのトークンが特定するユーザが所有するリポジトリに限定されます。この脆弱性は3.0.4以前のすべてのバージョンのGitHub Enterprise Serverに影響し、3.0.4、2.22.10、2.21.18で修正されました。この脆弱性にはCVE-2021-22865が割り当てられ、 GitHub Bug Bounty Programを通じて報告されました。

パッケージは最新のセキュリティバージョンにアップデートされました。

メンテナンスモードが有効になっている場合に、一部のサービスは実行中であることが期待され、リストに表示されるべきではないにも関わらず、"active processes"としてリストされ続けました。

GitHub Actionsを有効化して2.22.xから3.0.xへアップグレードした後、セルフホストランナーのバージョンが更新されず、セルフホストの更新が行われませんでした。

古いGitHub Pagesのビルドがクリーンアップされず、ディスク使用量の増大につながりました。

アクティブなレプリカ上でmemcachedが動作していませんでした。

GitHub Actionsが有効化されている場合に、ファイル権限の更新時に更新が失敗しました。

GitHub Enterprise 11.10.x以前で設定されたタイムゾーンが一部のサービスで利用されず、デフォルトのUTC時間になっていました。

ログローテーションの一部としてサービスが新しいログファイルに移行せず、ディスクの使用量が増大しました。

コマンドラインユーティリティのghe-saml-mapping-csvが警告メッセージを生成しました。

インターナルリポジトリの検索結果上のラベルが"Internal"ではなく"Private"と表示されました。

高: GitHubPagesのサイトをビルドする際に利用される可能性があるリモートコード実行の脆弱性が、GitHub Enterprise Serverで特定されました。GitHub Pagesが使用するユーザが制御する設定オプションが十分に厳密ではなく、環境変数を上書きできてしまい、GitHub Enterprise Serverインスタンス上でコマンドを実行できてしまいます。この脆弱性を利用するには、攻撃者はGitHub Enterprise Serverインスタンス上でGitHub Pagesのサイトを作成してビルドする権限を持っていなければなりません。この脆弱性は3.0.3以前のすべてのバージョンのGitHub Enterprise Serverに影響し、3.0.3、2.22.9、2.21.17で修正されました。この脆弱性はGitHub Bug Bountyプログラムを通じて報告され、CVE-2021-22864が割り当てられました。

パッケージは最新のセキュリティバージョンにアップデートされました。

ghe-cluster-config-initを実行すると、クラスタが動作しなくなることがありました。

GUI中でのマージコンフリクトの解決が、リポジトリでカスタムのpre-receiveフックが設定されている場合に失敗します。

launch-deployer及びlaunch-receiverがDEBUGレベルでロギングされ、不要な情報でログを埋めてしまいました。

システムがHAProxyのPIDを見失うことがありました。

アクションがS3ストレージを使うように設定されていると、アクションのログのロードに失敗することがあります。

成功したフェイルオーバーの後、mysql-failoverの警告が無期限に表示されました。

ghe-cluster-config-initの実行でバックグラウンドジョブの終了コードが完全に考慮されておらず、プリフライトチェックが不適切に処理されることにつながっていました。

GitHub Actionsを有効化する際に、初期化が何の反応もなしに失敗することがありました。

脆弱性アラートが有効になっていると、3.0シリーズへのアップグレードに失敗します。

Codespacesに関連するジョブがキューに追加され、未処理のジョブが蓄積されることになりました。

consulとnormadのbootstrap_expectに相対的な値を使用することによって、クラスタは少数のノードがダウンしている場合でもブートストラップできます。

ログが、時間に加えてサイズに基づいてローテートされます。

ghe-cluster-statusコマンドにkafka-liteを追加しました。

パッケージは最新のセキュリティバージョンにアップデートされました。

バックアップ中に、パージ可能なストレージオブジェクトをクリーンアップしようとしたときに、"Warning: One or more storage objects were not found on the source appliance."というエラーが生じました。

依存関係グラフがJavaScriptのyarn.lockマニフェストファイルのパースに失敗し、ログにHTTP 500エラーが残りました。

GitHub Actionsの無効化に失敗することがあります。

カスタムのpre-receiveフックに/tmpへの書き込みが許されず、正しく実行できないスクリプトがあります。

Systemdのジャーナルログが複数の場所で複製されました。

GitHub Enterprise 11.10.x以前で設定されたタイムゾーンが、3.0へのアップグレードの後でUTC時間にリセットされ、インスタンスによってはタイムスタンプがずれることがありました。

リポジトリのPackagesサイドバーの"Publish your first package"をクリックすると、空のページが表示されます。

サイト管理者がプライベートリポジトリから参照されているIssueを見ようとすると、500エラーページが返されることがありました。

GitHub Packagesを無効化した後、HTTP 500エラーレスポンスを返すOrganizationのページがあります。

GitHub Enterprise Serverから、リポジトリのファイルがないリポジトリアーカイブをインポートすると、エラーで失敗します。

リポジトリのデプロイキーが、LFSオブジェクトを含むリポジトリで利用できませんでした。

リポジトリのPackagesサイドバー内で、Dockerのアイコンが灰色になっており、ツールチップが"This service is deprecated"と表示しました。

application/x-www-form-urlencodedというコンテントタイプで設定されたwebhookは、POSTのリクエストボディ中のクエリパラメータを受信しませんでした。

ユーザが、すべてのチェックボックスをチェックすることなく必須のメッセージを閉じることができました。

2.22.Xインスタンスからアップグレードした後、webインターフェースのアセットが欠けて、ページが正しく描画されないことがありました。

ghe-config-applyを実行すると、'job' stanza not foundによってFailure waiting for nomad jobs to applyでタイムアウトになることがありました。

高: 特別な細工が行われたPull RequestやREST APIのリクエストを通じて、認可されていないリポジトリへの書き込みアクセスを、インスタンスの認証されたユーザが取得できてしまう、不適切なアクセス制御の脆弱性がGitHub Enterprise Serverで特定されました。攻撃者はターゲットのリポジトリをフォークできなければなりませんが、これはOrganizationが所有しているプライベートリポジトリではデフォルトで無効化されている設定です。必須のPull Requestレビューやステータスチェックといったブランチ保護で、さらなるレビューや検証なしに未認可のコミットがマージされることは避けられます。この脆弱性にはCVE-2021-22861が割り当てられました。この問題は、GitHub Bug Bounty Programを通じて報告されました。

高: 適切な認可なしに、Pull Requestのメンテナのコラボレーション権限を修正できる、不適切なアクセス制御の脆弱性がGitHub Enterprise Serverで特定されました。この脆弱性を突くことで、攻撃者は自分がメンテナになっているリポジトリでオープンされたPull Requestのheadブランチへのアクセスを得ることができます。Organizationが所有するプライベートリポジトリではフォークがデフォルトで無効になっており、この脆弱性を避けることができます。加えて、必須のPull Requestレビューやステータスチェックといったブランチ保護で、さらなるレビューや検証なしに未認可のコミットがマージされることは避けられます。この脆弱性にはCVE-2021-22863が割り当てられました。この問題は、GitHub Bug Bounty Programを通じて報告されました。

高: リポジトリをフォークできる認証されたユーザが、フォークの親リポジトリのActionsのシークレットを開示できてしまう、不適切なアクセス制御の脆弱性がGitHub Enterprise Serverで特定されました。この脆弱性が存在したのは、任意のSHAもしくはフォークリポジトリ外の他のPull Requestの時点まで、Pull Requestのベース参照を更新できる欠陥のためです。PR内のこの正しくない参照を確立することによって、フォークからワークフローに送信されるActionsのシークレットを限定する制限がバイパスされることがありました。この脆弱性は、GitHub Enterprise Serverのバージョン3.0.0、3.0.0.rc2、3.0.0.rc1に影響するもので、CVE-2021-22862が割り当てられました。この脆弱性はGitHub Bug Bountyプログラムを通じて報告されました。

中: GitHub PagesのビルドからのGitHubトークンがログに残ることがあります。

パッケージは最新のセキュリティバージョンにアップデートされました。

ロードバランサーのヘルスチェックによって、babeldのログがPROXYプロトコルに関するエラーで埋め尽くされてしまうことがあります。

HTTPヘッダが、アーカイブに対する304ステータスのような特定のレスポンスにおいてHTTP RFC標準に準拠していませんでした。

依存関係グラフの機能が有効化されたPythonのリポジトリをホストするインスタンスにおいて、ルートディスクがエラーログで埋め尽くされてしまい、インスタンスが応答しなくなることがありました。

GitHub Enterprise Backup Utilitiesがスナップショットを取る際に、情報提供のメッセージが意図せずエラーとして記録され、そのためにcronジョブによってスケジュールされたstderrへの出力を待ち受けているバックアップの際に、不要なメールが送信されてしまいます。

VMWare ESX 6.7において、初期の設定がホストのキーを生成する際にハングし、そのインスタンスがSSHでアクセスできなくなってしまうことがありました。

GitHub Actionsが有効化されていると、管理コンソールでメンテナンスモードの無効化に失敗します。

パッケージ作成の設定がOrganizationメンバーの設定ページに表示されますが、この機能はまだ利用できません。

Security & AnalysisページでSecret Scanningを有効化する際に、ダイアログが誤ってプライベートリポジトリに触れます。

Wikiページを編集する際に、保存ボタンをクリックすると500エラーが返されることがあります。

サブジェクトの別名に複数の名前がある証明書を使ってS/MIME署名されたコミットで、誤ってコミットバッジに"Unverified"と表示されます。

LDAP認証を設定されたインスタンス上でGitの操作を実行したユーザに500エラーが返されました。

サスペンドされたユーザがTeamに追加されると、メールが送信されます。

リポジトリが大量のマニフェストを持っていると、You have reached the maximum number of allowed manifest files (20) for this repositoryというエラーがInsights -> Dependency graphタブに表示されます。詳しい情報については可視化の制限を参照してください。

所有するリポジトリでActionsが有効化されていなくても、ユーザにCode Scanning CodeQL Actionをセットアップするオプションが表示されてしまうのを修正しました。

Enterpriseアカウント設定にある"Prevent repository admins from changing anonymous Git read access"チェックボックスが、正常に有効化または無効化できませんでした。

須のメッセージを表示するために使われるモーダルに垂直スクロールバーが含まれず、長いメッセージをすべて見ることができませんでした。

ハードリブートやアプリケーションのクラッシュ後に、Redisの起動に失敗することがあります。

依存関係グラフがPythonのsetup.pyマニフェストファイルのパースに失敗し、HTTP 500エラーがログに残されます。これが重複されるロギングの問題と組み合わさると、ルートボリュームの使用率が増大します。

複数のユーザが同じアーカイブを並行してダウンロードするリクエストが処理され、パフォーマンスが向上します。

HIGH: A remote code execution vulnerability was identified in GitHub Enterprise Server that could be exploited when building a GitHub Pages site. User-controlled configuration of the underlying parsers used by GitHub Pages were not sufficiently restricted and made it possible to execute commands on the GitHub Enterprise Server instance. To exploit this vulnerability, an attacker would need permission to create and build a GitHub Pages site on the GitHub Enterprise Server instance. This vulnerability has been assigned CVE-2020-10519 and was reported via the GitHub Bug Bounty Program.

GitHub Actions is now generally available on GitHub Enterprise Server 3.0+. Build, test, and deploy your code from GitHub. Submit code reviews, branch management, and issue triaging work the way you want.

This release includes several improvements from the beta of GitHub Actions on GitHub Enterprise Server:

• Enterprise, organization, and repository admins can create security policies for access to GitHub Actions on GitHub.com.
• Enterprise, organization, and repository admins can allow public repositories to use self-hosted runners.
• Enterprise, organization, and repository admins can now allow workflows to run on pull requests raised from forks of private repositories.
• The workflow_run event is now supported
• Users now have the ability to disable workflows and enable them at a later date.
• Workflow logs have been enhanced for a better user experience.
• Users can now use private images in container jobs and services.
• The max retention days for artifacts and logs can now be customized.
• The runner group API now includes labels.
• You can now create reusable actions using shell scripts with compose run steps.
• Encrypted secrets for an organization allows you to consolidate secrets across repositories.
• Workflow templates for an organization streamlines and promotes best practices and consistency across your organization.

GitHub Actions is not currently supported for enterprises using cluster configurations.

GitHub Packages is a package hosting service, natively integrated with GitHub APIs, Actions, and webhooks. Create an end-to-end DevOps workflow that includes your code, continuous integration, and deployment solutions.

Supported storage back ends include AWS S3 and MinIO with support for Azure blob coming in a future release. Please note that the current Docker support will be replaced by a beta of the new GitHub Container Registry in a future release. Please review the updated minimum requirements for your platform before you turn on GitHub Packages.

When publishing packages to NuGet, users can now use the --api-key option to pass their authentication token instead of writing it into a file. For more information, see Configuring dotnet CLI for use with GitHub Packages

GitHub Packages is not currently supported for enterprises using cluster configurations.

GitHub Mobile beta allows you to triage notifications and manage issues and pull requests from your device. You can be simultaneously signed into mobile with one user account on GitHub.com and one user account on GitHub Enterprise Server.

GitHub Mobile beta is now available for GitHub Enterprise Server. Sign in with our Android and iOS apps to triage notifications and manage issues and pull requests on the go. Administrators can disable mobile support for their Enterprise using the management console or by running ghe-config app.mobile.enabled false.

Secret Scanning beta scans public and private repositories for committed credentials, finds secrets, and notifies the secret provider or admin the moment they are committed into a repository.

Administrators using GitHub Advanced Security can enable and configure GitHub Advanced Security secret scanning. You can review the updated minimum requirements for your platform before you turn on GitHub Advanced Security secret scanning.

GitHub Advanced Security code scanning is now generally available on GitHub Enterprise Server. Organizations who have purchased Advanced Security can use this capability to do static analysis security testing against their code, and prevent vulnerabilities from making it to their production code using CodeQL, our semantic analysis engine. For more information, see "Configuring code scanning on your appliance"

The webhook events delivery system has been rearchitected for higher throughput, faster deliveries, and fewer delayed messages. It also uses less CPU and memory in GitHub Enterprise Server 3.0+.

Organization and Enterprise owners can now see when a team member has been promoted to or demoted from being a team maintainer in the audit log through the new team.promote_maintainer and team.demote_maintainer audit log events. For more information, see "Audited actions."

Repository maintainers with existing GitHub Pages sites can easily update their prior default branch name.

Additional hardware resources are required to run GitHub Enterprise Server with any of Actions, Packages or Advanced Security enabled. For more information on the minimum required resources for each supported platform, see "Setting up a GitHub Enterprise Server instance."

Administrators can now publish a message, which all users must accept. This can help to onboard new users and surface other organization-specific information and policies.

Organization owners can now disable publication of GitHub Pages sites from repositories in the organization. Disabling GitHub Pages for the organization will prevent members from creating new Pages sites but will not unpublish existing sites. For more information, see "Disabling publication of GitHub Pages sites for your organization."

A datacenter must be explicitly defined on all nodes before enabling an active replica.

All usage of SSH fingerprints has been switched to use SHA256 fingerprints as they are used with OpenSSH since version 6.8 as well. This applies to the web interface and also the API where fingerprints are returned such as in GraphQL. The fingerprints follow the OpenSSH format.

SHA-1 and SHA-256 signature headers (two headers) are sent on webhooks.

Majority of the services running in GitHub Enterprise Server 3.0+ are now on containers which internally enables GitHub to iterate fast and ship high quality releases

The webhook events delivery system has been rearchitected for higher throughput, faster deliveries, and fewer delayed messages.

Administrators can now configure and manage the site-wide announcement banner via the REST API. For more information, see the endpoints for "GitHub Enterprise administration."

A new API endpoint enables the exchange of a user to server token for a user to server token scoped to specific repositories. For more information, see "Apps" in the GitHub REST API documentation.

Enterprise and organization administrators can now set the default branch name for new repositories. Enterprise administrators can also enforce their choice of default branch name across all organizations or allow individual organizations to choose their own.

Existing repositories are unaffected by these settings, and their default branch name will not be changed.

This change is one of many changes GitHub is making to support projects and maintainers that want to rename their default branch. To learn more about the changes we're making, see github/renaming.

All known issues from Release Candidate 1 and Release Candidate 2 have been fixed, except those listed in the Known Issues section below.

Issues with migrations and upgrades to 3.0.0 have been fixed.

Backup Utilities versioning now works for release candidate versions.

Generating a support bundle resulted in an error in the orchestrator logs.

A large restore could result in Redis running out of memory.

The checkbox to enable GitHub Actions in the Management Console is now visible with any authentication method.

GitHub Actions could be enabled if the required storage was also configured.

ghe-repl-status could silently fail if MSSQL replication was not configured.

The format of several log files have changed, including the addition of a PID for different log types. This does not affect how GitHub Enterprise Support uses support bundles to troubleshoot issues.

A PATCH request to the webhook configuration API no longer erases the webhook secret.

Certain types of pre-receive hooks were failing.

The Packages NuGet service now normalizes semantic versions on publish. An invalid semantic version (for example: v1.0.0.0.0.0) is not downloadable by NuGet clients and therefore a NuGet service is expected to normalize those versions (for example: v1.0.0.0.0.0 --> v1.0.0). Any original, non-normalized, version will be available in the verbatimVersion field. No changes to client configurations are required.

On a freshly set up GitHub Enterprise Server without any users, an attacker could create the first admin user.

Custom firewall rules are not maintained during an upgrade.

Git LFS tracked files uploaded through the web interface are incorrectly added directly to the repository.

When "Users can search GitHub.com" is enabled with GitHub Connect, issues in private and internal repositories are not included in GitHub.com search results.

When maintenance mode is enabled, some services continue to be listed as "active processes". The services identified are expected to run during maintenance mode. If you experience this issue and are unsure, contact GitHub Enterprise Support.

When GitHub Actions is enabled, use 'ghe-maintenance -u' to unset maintenance mode.

Duplicated logging to /var/log/messages, /var/log/syslog, and /var/log/user.log results in increased root volume utilization.

Users can dismiss a mandatory message without checking all checkboxes.

Pre-receive hook scripts cannot write temporary files, which may cause script execution to fail. Users who use pre-receive hooks should test in a staging environment to see if scripts require write access.

Repository deploy keys are unable to be used with repositories containing LFS objects.

Jupyter Notebook rendering in the web UI may fail if the notebook includes non-ASCII UTF-8 characters.

reStructuredText (RST) rendering in the web UI may fail and instead display raw RST markup text.

Dependency graph fails to parse setup.py Python manifest files, resulting in HTTP 500 errors in logs. This, combined with the duplicated logging issue, results in increased root volume utilization.

A race condition can cause dependency graph database migrations to appear to fail.

Instances with a custom timezone that were upgraded from an earlier release of GitHub Enterprise Server may have incorrect timestamps in the web UI.

Old builds of Pages are not cleaned up, which could fill up the user disk (/data/user/).

When deleting a branch after merging a pull request, an error message appears although the branch deletion succeeds.

When a replica node is offline in a high availability configuration, GitHub Enterprise Server may still route GitHub Pages requests to the offline node, reducing the availability of GitHub Pages for users.

Resource limits that are specific to processing pre-receive hooks may cause some pre-receive hooks to fail.

GitHub Enterprise Server 2.19 is deprecated as of November 12, 2020. That means that no patch releases will be made, even for critical security issues, after this date. For better performance, improved security, and new features, upgrade to the newest version of GitHub Enterprise Server as soon as possible.

Starting with GitHub Enterprise Server 2.21.0 two legacy GitHub Apps-related webhook events have been deprecated and will be removed in GitHub Enterprise Server 3.2.0. The deprecated events integration_installation and integration_installation_repositories have equivalent events which will be supported. More information is available in the deprecation announcement blog post.

Starting with GitHub Enterprise Server 2.21.0 the legacy GitHub Apps endpoint for creating installation access tokens was deprecated and will be removed in GitHub Enterprise Server 3.2.0. More information is available in the deprecation announcement blog post.

GitHub no longer supports the OAuth application endpoints that contain access_token as a path parameter. We have introduced new endpoints that allow you to securely manage tokens for OAuth Apps by moving access_token to the request body. While deprecated, the endpoints are still accessible in this version. We intend to remove these endpoints on GitHub Enterprise Server 3.4. For more information, see the deprecation announcement blog post.

The service supported a "Find by Symbol" experience in the pull request view that was not widely used.

GitHub Actions set-env and add-path workflow commands have been deprecated. For more information, see the changelog.