Enterprise Server 3.3 release notes

HIGH: Git wurde mit Korrekturen aus 2.39.1 aktualisiert, die sich auf CVE-2022-41903 und CVE-2022-23521 beziehen.

Sanitize additional secrets in support bundles and the configuration log.

Packages have been updated to the latest security versions.

The metrics Active workers and Queued requests for github (renamed from metadata), gitauth, and unicorn container services werent correctly read from collectd and displayed in the Management Console.

The performance of configuration runs started with ghe-config-apply has been improved.

When upgrading an instance with a new root partition, running the ghe-upgrade command with the -t/--target option ensures the preflight check for the minimum disk storage size is executed against the target partition.

When exporting account data, backing up a repository, or performing a migration, the link to a repository archive now expires after 1 hour. Previously the archive link expired after 5 minutes.

HIGH: A path traversal vulnerability was identified in GitHub Enterprise Server that allowed remote code execution when building a GitHub Pages site. To exploit this vulnerability, an attacker would need permission to create and build a GitHub Pages site on the instance. This vulnerability was reported via the GitHub Bug Bounty Program and has been assigned CVE-2022-46256.

HIGH: An incorrect authorization vulnerability allowed a scoped user-to-server token to escalate to full admin access for a repository. An attacker would require an account with admin access to install a malicious GitHub App. This vulnerability affected all versions of GitHub Enterprise Server prior to 3.7.0. This vulnerability was reported via the GitHub Bug Bounty program and has been assigned CVE-2022-23741.

Installation of GitHub Enterprise Server on the VMware ESXi hypervisor failed due to the generation of an OVA file with an invalid capacity value.

When users performed an operation using the API, GitHub Enterprise Server enforced repository size quotas even when disabled globally.

A debug-level message appeared in a system log, which could consume space rapidly on the instance's root storage volume.

On instances where the dependency graph is enabled, upgrades could sometimes fail due to a slow-running migration of dependency graph data.

MEDIUM: Updated CommonMarker to address a scenario where parallel requests to the Markdown REST API could result in unbounded resource exhaustion. This vulnerability has been assigned CVE-2022-39209.

MEDIUM: Scoped user-to-server tokens from GitHub Apps could bypass authorization checks in GraphQL API requests when accessing non-repository resources. This vulnerability was reported via the GitHub Bug Bounty Program and has been assigned CVE-2022-23739.

MEDIUM: Pull request preview links did not properly sanitize URLs, allowing a malicious user to embed dangerous links in the instances web UI. This vulnerability was reported via the GitHub Bug Bounty program.

MEDIUM: An incorrect authorization vulnerability was identified in GitHub Enterprise Server that allowed a repository-scoped token with read/write access to modify GitHub Actions workflow files without a workflow scope. The "Create or Update file contents API" should enforce workflow scope. This vulnerability was reported via the GitHub Bug Bounty program and has been assigned CVE-2022-46258.

Setting the maintenance mode with an IP Exception List would not persist across upgrades.

After configuration of Dependabot and alert digest emails, the instance would send digest emails to suspended users.

If a user configured a pre-receive hook for multiple repositories, the instances Hooks page would not always display the correct status for the hook.

Zombie processes no longer accumulate in the gitrpcd container.

HIGH: Updated dependencies for the Management Console to the latest patch versions, which addresses security vulnerabilities including CVE-2022-30123 and CVE-2022-29181.

HIGH: Added checks to address an improper cache key vulnerability that allowed an unauthorized actor to access private repository files through a public repository. This vulnerability has been assigned CVE-2022-23738.

MEDIUM: Updated CommonMarker to address a scenario where parallel requests to the Markdown REST API could result in unbounded resource exhaustion. This vulnerability has been assigned CVE-2022-39209.

MEDIUM: Updated GitHub Actions runners to fix a bug that allowed environment variables in GitHub Actions jobs to escape the context of the variable and modify the invocation of docker commands directly. For more information, see the Actions Runner security advisory.

MEDIUM: Updated Redis to 5.0.14 to address CVE-2021-32672 and CVE-2021-32762.

MEDIUM: An improper privilege management vulnerability was identified in GitHub Enterprise Server that allowed users with improper privileges to create or delete pages via the API. To exploit this vulnerability, an attacker would need to be added to an organization's repo with write permissions. This vulnerability was reported via the GitHub Bug Bounty program and has been assigned CVE-2022-23737.

LOW: Due to a CSRF vulnerability, a GET request to the instance's site/toggle_site_admin_and_employee_status endpoint could toggle a user's site administrator status unknowingly.

Packages have been updated to the latest security versions.

After a site administrator made a change that triggered a configuration run, such as disabling GitHub Actions, validation of services would sometimes fail with the message WARNING: Validation encountered a problem.

After a site administrator installed a hotpatch containing changes to web interface assets such as JavaScript files or images, the instance did not serve the new assets.

Deleted assets and assets scheduled to be purged within a repository, such as LFS files, took too long to to be cleaned up.

If a user installed a GitHub App for the user account and then converted the account into an organization, the app was not granted organization permissions.

To ensure that site administrators can successfully complete an upgrade, the instance will now execute a preflight check to ensure that the virtual machine meets minimum hardware requirements. The check also verifies Elasticsearch's health. You can review the current requirements for CPU, memory, and storage for GitHub Enterprise Server in the "Minimum requirements" section within each article in "Setting up a GitHub Enterprise Server instance."

HIGH: A GitHub App could use a scoped user-to-server token to bypass user authorization logic and escalate privileges.

MEDIUM: The use of a Unicode right-to-left override character in the list of accessible files for a GitHub App could obscure additional files that the app could access.

Packages have been updated to the latest security versions.

Installation of a TLS certificate failed when the certificate's subject string included UTF-8 characters.

Configuration runs could fail when retry-limit or retry-sleep-duration were manually set by an administrator using ghe-config.

In some cases, the Management Console's monitor dashboard would not load correctly.

Removed a non-functional link for exporting Management Console monitor graphs as a PNG image.

When sending a support bundle to GitHub Enterprise Support using ghe-support-upload, the -t option would not successfully associate the uploaded bundle with the specified ticket.

A link back to the security settings for the instance's enterprise account could render an incorrect view.

Git clones or fetches over SSH could experience data corruption for transfers over 1GB in size.

After a user deleted or restored packages from the web interface, counts for packages could render incorrectly.

After successful configuration of Dependabot and alert digest emails, the instance would not send digest emails.

Manually disabled GitHub Actions workflows in a repository were re-enabled if the repository received a push containing more than 2048 commits, or if the repository's default branch changed.

When using a VPC endpoint URL as an AWS S3 URL for GitHub Packages, publication and installation of packages failed.

Nach dem Freigeben eines Repositorys für den temporären Zugriff konnte ein Siteadministrator die Einstellungen für Sicherheitsprodukte im Repository nicht mehr verwalten.

Doppelte administrative SSH-Schlüssel konnten sowohl in der Verwaltungskonsole als auch in der Datei /home/admin/.ssh/authorized_keys vorkommen.

In einigen Fällen konnte die Ausführung von ghe-cluster-config-apply eine leere Konfiguration zu bestehenden Knoten in einem Cluster replizieren.

In einigen Fällen wurden Konfigurationsläufe, die mit ghe-config-apply gestartet wurden, nicht abgeschlossen oder gaben den Fehler Nicht übereinstimmende Containerzahl zurück.

Nach dem Aktualisieren eines selbstsignierten TLS-Zertifikats auf einer GitHub Enterprise Server-Instanz wurden Benutzeroberflächenelemente auf einigen Seiten der Weboberfläche nicht angezeigt.

In einigen Fällen konnten Hintergrundaufgaben aufgrund einer Bibliothek, die gleichzeitig verwendet wurde, obwohl sie nicht threadsicher war, zum Stillstand kommen.

Die Generierung von Supportbundles wird durch die parallelisierte Protokollbereinigung beschleunigt. Weitere Informationen zu Supportbundles findest du unter Daten für den GitHub-Support bereitstellen.

Das Unternehmensüberwachungsprotokoll enthält jetzt mehr benutzergenerierte Ereignisse, wie z. B. project.create. Die REST-API liefert auch zusätzliche benutzergenerierte Ereignisse, wie z. B. repo.create. Weitere Informationen findest du unter Zugreifen auf das Überwachungsprotokoll für dein Unternehmen und Verwenden der Überwachungsprotokoll-API für dein Unternehmen.

CRITICAL: GitHub Enterprise Server's Elasticsearch container used a version of OpenJDK 8 that was vulnerable to an integer truncation issue when processing malicious XSLT stylesheets. The vulnerability is tracked as CVE-2022-34169.

HIGH: Previously installed apps on user accounts were automatically granted permission to access an organization on scoped access tokens after the user account was transformed into an organization account. This vulnerability was reported via the GitHub Bug Bounty program.

When a custom dormancy threshold was set for the instance, suspending all dormant users did not reliably respect the threshold. For more information about dormancy, see "Managing dormant users."

The enterprise audit log now includes more user-generated events, such as project.create. The REST API also returns additional user-generated events, such as repo.create. For more information, see "Accessing the audit log for your enterprise" and "Using the audit log API for your enterprise."

MEDIUM: Prevents an attack where a server-side request forgery (SSRF) could potentially force the Subversion (SVN) bridge to execute remote code by injecting arbitrary data into Memcached.

MEDIUM: Prevents an attacker from executing Javascript code by exploiting a cross-site scripting (XSS) vulnerability in dropdown UI elements within the GitHub Enterprise Server web interface.

Updates Grafana to version 7.5.16, which addresses various security vulnerabilities including CVE-2020-13379 and CVE-2022-21702.

Packages have been updated to the latest security versions.

MEDIUM: A stored XSS vulnerability was identified in GitHub Enterprise Server that allowed the injection of arbitrary attributes. This injection was blocked by Github's Content Security Policy (CSP). This vulnerability was reported via the GitHub Bug Bounty program and has been assigned CVE-2022-23733. [Updated: 2022-07-31]

MEDIUM: A vulnerability involving deserialization of untrusted data was identified in GitHub Enterprise Server that could potentially lead to remote code execution on the Subversion (SVN) bridge. To exploit this vulnerability, an attacker would need to gain access via a server-side request forgery (SSRF) that would let an attacker control the data being deserialized. This vulnerability was reported via the GitHub Bug Bounty program and has been assigned CVE-2022-23734.

Fixed an issue where the files inside the artifact zip archives had permissions of 000 when unpacked using an unzip tool. Now the files will have the permissions set to 644, the same way as it works in GitHub.com.

In some cases, the collectd daemon could consume excess memory.

In some cases, backups of rotated log files could accumulate and consume excess storage.

After an upgrade to a new feature release and subsequent configuration run, Elasticsearch could log excessive exceptions while rebuilding indices.

In some cases where a protected branch required more than one approving review, a pull request could be merged with fewer than the required number of approving reviews.

On instances using LDAP authentication, the authentication prompt for sudo mode incorrectly placed the cursor within the password field by default when text fields for both a username and password were visible.

The ghe-set-password command-line utility starts required services automatically when the instance is booted in recovery mode.

Metrics for aqueduct background processes are gathered for Collectd forwarding and display in the Management Console.

The location of the database migration and configuration run log, /data/user/common/ghe-config.log, is now displayed on the page that details a migration in progress.

MITTEL: Stellt sicher, dass github.company.com und github-company.com von internen Diensten nicht als identische Hostnamen ausgewertet werden, um einen potenziellen SSRF-Angriff (Server-Side Request Forgery, serverseitige Anforderungsfälschung) zu verhindern.

NIEDRIG: Ein Angreifer konnte mit einem Path Traversal-Angriff über HTTP selbst dann auf die Verwaltungskonsole zugreifen, wenn externe Firewallregeln den HTTP-Zugriff blockierten.

Die Pakete wurden auf die neuesten Sicherheitsversionen aktualisiert.

In einigen Fällen wurden Websiteadministratoren nicht automatisch als Unternehmensbesitzer hinzugefügt.

Nach dem Mergen eines Branchs in den Standardbranch verweist der Link „Verlauf“ für eine Datei immer noch auf den vorherigen Branch statt auf den Zielbranch.

Beim Erstellen oder Aktualisieren von Prüfläufen oder Prüfsuiten konnte 500 Interner Serverfehler zurückgegeben werden, wenn der Wert für bestimmte Felder, z. B. den Namen, zu lang war.

Die Pakete wurden auf die neuesten Sicherheitsversionen aktualisiert.

Ein internes Skript zur Überprüfung von Hostnamen in der GitHub Enterprise Server-Konfigurationsdatei gab einen Fehler zurück, wenn die Hostnamenzeichenfolge mit einem „.“ (Punkt) begann.

In HA-Konfigurationen, bei denen der Hostname des primären Knotens länger als 60 Zeichen war, konnte MySQL nicht konfiguriert werden.

Das Argument --gateway wurde dem Befehl ghe-setup-network hinzugefügt, um die Übergabe der Gatewayadresse bei der Konfiguration von Netzwerkeinstellungen über die Befehlszeile zu ermöglichen.

Bei gelöschten Bildanhängen wurde 500 Interner Serverfehler anstelle eines 404 – Nicht gefunden-Fehlers ausgegeben.

Die Berechnung der „maximalen Anzahl von Committern in der gesamten Instanz“, die im Administratordashboard der Site angezeigt wurde, war falsch.

Ein falscher Datenbankeintrag für Repositoryreplikate führte zu einer Datenbankbeschädigung, wenn eine Wiederherstellung mit GitHub Enterprise Server Backup Utilities durchgeführt wurde.

Die Einbeziehung von Metriken bei der Erstellung eines Pakets zur Clusterunterstützung wurde optimiert.

In HA-Konfigurationen, in denen Elasticsearch einen gültigen gelben Status meldete, blockierten Änderungen, die in einem früheren Fix eingeführt wurden, den Befehl ghe-repl-stop und ließen ein Beenden der Replikation nicht zu. Mit ghe-repo-stop --force wird nun das Beenden von Elasticsearch erzwungen, wenn sich der Dienst in einem normalen oder gültigen gelben Status befindet.

Bei der Verwendung von ghe-migrator oder beim Exportieren aus GitHub.com konnten Migrationen keine Pull Request-Anhänge exportieren.

MITTEL: Es wurde ein Sicherheitsproblem im nginx-Resolver identifiziert, bei dem ein Angreifer, der UDP-Pakete vom DNS-Server fälschen konnte, möglicherweise eine Überschreibung des 1-Byte-Arbeitsspeichers verursacht. Dies kann zum Absturz von Workerprozessen oder anderen potenziell schädlichen Auswirkungen führen. Dem Sicherheitsrisiko wurde CVE-2021-23017 zugeordnet.

Die Aktionen actions/checkout@v2 und actions/checkout@v3 wurden aktualisiert, um neue Sicherheitsrisiken zu beheben, auf die im Blogbeitrag zur Durchsetzung der Git-Sicherheit aufmerksam gemacht wurde.

Die Pakete wurden auf die neuesten Sicherheitsversionen aktualisiert.

In einigen Clustertopologien hinterließ der Befehl ghe-cluster-status leere Verzeichnisse in /tmp.

SNMP protokollierte fälschlicherweise eine hohe Anzahl von Cannot statfs-Fehlermeldungen im Syslog.

Bei Instanzen, die mit SAML-Authentifizierung und integriertem Fallback konfiguriert sind, kam es für integrierte Benutzer zu einer Anmeldeschleife, wenn sie versuchten, sich über die nach dem Abmelden generierte Seite anzumelden.

Der Versuch, die Ausgabe von git fsck auf der Seite /stafftools/repositories/:owner/:repo/disk anzuzeigen, schlug mit der Meldung 500: Interner Serverfehler fehl.

Bei der Verwendung von SAML-verschlüsselten Assertions wurden SSH-Schlüssel bei einigen Assertions nicht korrekt als verifiziert markiert.

Zu Issuekommentaren hochgeladene Videos wurden nicht korrekt wiedergegeben.

Bei Verwendung der Dateisuche auf einer Repositoryseite führte die Betätigung der RÜCKTASTE im Suchfeld dazu, dass die Suchergebnisse mehrfach aufgelistet wurden und es zu Darstellungsproblemen kam.

Bei der Verwendung von GitHub Enterprise Importer zum Importieren eines Repositorys konnte es vorkommen, dass der Import aufgrund von falsch konfigurierten Ereignissen in der Projektzeitleiste fehlschlug.

Bei der Verwendung von ghe-migrator konnte es vorkommen, dass bei einer Migration die Anhänge von Videodateien in Issues und Pull Requests nicht importiert wurden.

Die Seite mit den Releases gab einen 500-Fehler zurück, wenn das Repository Tags mit Nicht-ASCII-Zeichen enthielt. [Aktualisiert: 10.06.2022]

Bei Hochverfügbarkeitskonfigurationen ist zu beachten, dass auf der Replikationsübersichtsseite in der Verwaltungskonsole nur die aktuelle Replikationskonfiguration und nicht der aktuelle Replikationsstatus angezeigt wird.

Bei der Aktivierung von GitHub Packages sollte klargestellt werden, dass die Verwendung eines SAS-Tokens (Shared Access Signature) als Verbindungszeichenfolge derzeit nicht unterstützt wird.

Supportbundles enthalten jetzt die Zeilenzahl von in MySQL gespeicherten Tabellen.

Beim Bestimmen der Repositorynetzwerke, für die eine Wartung geplant werden sollte, wird die Größe nicht erreichbarer Objekte nicht länger berücksichtigt.

Das Antwortfeld run_started_at ist jetzt in der Workflowausführungs-API und in den Webhooknutzdaten des Ereignisses workflow_run enthalten.

Die Pakete wurden auf die neuesten Sicherheitsversionen aktualisiert.

Beim Löschen einer Manifestdatei aus einem Repository wurde das Manifest nicht aus der Seite „Abhängigkeitsdiagramm“ des Repositorys entfernt.

Es wurde eine Regression behoben, die zu regelmäßigen Fehlern beim Abrufen von Artefakten und beim Herunterladen von Protokollarchiven für GitHub Actions führen konnte. Unter bestimmten Umständen wurden URLs mit localhost für die interne Kommunikation nicht mehr aufgelöst, und stattdessen wurde fälschlicherweise der Hostname der Instanz verwendet.

Ein Upgrade der Knoten in einem Hochverfügbarkeitspaar mit einem Upgradepaket konnte in einigen Fällen dazu führen, dass Elasticsearch in einen inkonsistenten Zustand überging.

Rotierte Protokolldateien mit der Endung .backup sammelten sich in Verzeichnissen mit Systemprotokollen an.

In einigen Clustertopologien konnten die Befehlszeilenhilfsprogramme ghe-spokesctl und ghe-btop nicht ausgeführt werden.

Elasticsearch-Indizes wurden während eines Paketupgrades möglicherweise dupliziert, weil ein elasticsearch-upgrade-Dienst mehrfach parallel ausgeführt wurde.

In den Pull Request- und Commit-Ansichten konnten Rich-Diffs für einige von Git LFS nachverfolgte Dateien nicht geladen werden.

Beim Konvertieren eines Benutzerkontos in eine Organisation wurde die konvertierte Organisation fälschlicherweise in der Liste der Unternehmensbesitzer angezeigt, wenn das Benutzerkonto ein Besitzer des GitHub Enterprise Server-Unternehmenskontos war.

Das Erstellen eines OAuth-Tokens für den Identitätswechsel mithilfe der REST-API zur Verwaltung von Enterprise führte zu einem Fehler, wenn bereits eine Integration vorhanden war, die mit der OAuth-Anwendungs-ID übereinstimmte.

Die REST-API zur Geheimnisüberprüfung gab einen 500-Antwortcode zurück, wenn UTF8-Zeichen in einem erkannten Geheimnis enthalten waren.

Die Cacheserver für ein Repository lieferten möglicherweise Daten aus Nicht-Cachespeicherorten, auch wenn die Daten im lokalen Cachespeicher verfügbar waren.

Konfigurationsfehler, die zum Anhalten einer Konfigurationsanwendung führen, werden jetzt nicht nur im Konfigurationsprotokoll, sondern auch im Terminal ausgegeben.

Wenn versucht wurde, einen Wert zwischenzuspeichern, der größer ist als der in Memcached erlaubte Maximalwert, wurde ein Fehler generiert, der Schlüssel wurde jedoch nicht gemeldet.

Wenn GitHub Advanced Security-Features für eine Instanz aktiviert sind, hat sich die Leistung von Hintergrundaufträgen bei der Verarbeitung von Batches für Repositorybeiträge verbessert.

MITTEL: In der Verwaltungskonsole von GitHub Enterprise Server wurde ein Sicherheitsrisiko aufgrund von Pfadausnahmen identifiziert, wodurch CSRF-Schutzmaßnahmen umgangen werden konnten. Dieses Sicherheitsrisiko betraf alle Versionen von GitHub Enterprise Server vor Version 3.5 und wurde in den Versionen 3.1.19, 3.2.11, 3.3.6 und 3.4.1 behoben. Dieses Sicherheitsrisiko wurde über das GitHub Bug Bounty Program gemeldet und weist die Kennung CVE-2022-23732 auf.

MITTEL: In den Branches 1.x und 2.x von „yajil“ wurde ein Sicherheitsrisiko aufgrund eines Ganzzahlüberlaufs identifiziert, wodurch es bei größeren Eingaben (~2 GB) zu Beschädigungen des nachfolgenden Heapspeichers kommt. Dieses Sicherheitsrisiko wurde intern gemeldet und weist die Kennung CVE-2022-24795 auf.

Wurde GitHub Actions aktiviert, konnten Supportbundles vertrauliche Daten enthalten.

Die Pakete wurden auf die neuesten Sicherheitsversionen aktualisiert.

Bei der Aktivierung von Dependabot führte ein Fehler dazu, dass einige Sicherheitshinweise vorübergehend als nicht mehr zutreffend gelesen wurden.

Minio-Prozesse würden eine hohe CPU-Auslastung aufweisen, wenn eine alte Konfigurationsoption nach dem Upgrade von GitHub Enterprise Server vorhanden war.

In den Datenschutzeinstellungen der Verwaltungskonsole wurden die Optionen zur Aktivierung von „TLS 1.0“ und „TLS 1.1“ angezeigt, obwohl diese Protokollversionen bereits in einem früheren Release entfernt wurden.

In einer Umgebung mit Hochverfügbarkeit wurden für die Konfiguration der MSSQL-Replikation zusätzliche manuelle Schritte erforderlich, wenn GitHub Actions zum ersten Mal aktiviert wurde.

Eine Teilmenge interner Konfigurationsdateien wird nach einem Hotpatch zuverlässiger aktualisiert.

Mit dem Skript „ghe-run-migrations“ ließen sich in einigen Fällen keine korrekten temporären Zertifikatnamen erzeugen.

In einer Clusterumgebung konnten bei Git LFS-Vorgängen Fehler aufgrund fehlerhafter interner API-Aufrufe auftreten, die mehrere Webknoten durchlaufen haben.

Für Pre-Receive-Hooks, die „gpg --import“ verwendet haben, wurde das Zeitlimit aufgrund unzureichender syscall-Berechtigungen überschritten.

In einigen Clustertopologien standen Informationen zur Webhookübermittlung nicht zur Verfügung.

Beim Ausführen von Migrationen war bei Elasticsearch-Integritätsprüfungen ein gelber Status nicht zulässig.

Repositorys würden auf der Webbenutzeroberfläche eine nicht funktionierende Registerkarte „Diskussionen“ anzeigen.

Organisationen, die als Folge der Umwandlung eines Benutzerkontos in ein Organisationskonto erstellt wurden, wurden dem globalen Unternehmenskonto nicht hinzugefügt.

Links zu Seiten, auf die der Zugriff nicht möglich ist, wurden entfernt.

Das Bereitstellungsdiagramm GitHub Actions würde beim Rendern eines ausstehenden Auftrags einen Fehler anzeigen.

Bei einigen Instanzen kam es zu einer hohen CPU-Auslastung, da viele unnötige Hintergrundaufträge in die Warteschlange gestellt wurden.

Bei Aufträgen zur Synchronisierung von LDAP-Benutzern würde ein Fehler auftreten, wenn sie versuchten, GPG-Schlüssel zu synchronisieren, die zuvor synchronisiert worden waren.

Das Verfolgen eines Links zu einem Pull Request aus dem Pull Request-Dashboard des Benutzers führte dazu, dass der Repositoryheader nicht geladen wurde.

Wurde einem Pull Request ein Team als Prüfer hinzugefügt, kam es gelegentlich zu einer falschen Angabe der Anzahl der Teammitglieder.

Der API-Endpunkt zum Entfernen von Teammitgliedern würde mit einem Fehler reagieren, wenn versucht wurde, ein Mitglied zu entfernen, das extern über eine SCIM-Gruppe verwaltet wird.

Bei der Konfiguration von GitHub Connect konnte bei einer großen Anzahl inaktiver Benutzer ein Fehler auftreten.

Auf der Benutzeroberfläche des Websiteadministrators war die Seite „Feature- & Betaregistrierungen“ fälschlicherweise verfügbar.

In der Fußzeile der Website wurde der Status des Links „Websiteadministratormodus“ beim Klicken nicht geändert.

Beim Befehl „spokesctl cache-policy rm“ tritt nicht mehr mit der Meldung „error: failed to delete cache policy“ ein Fehler auf.

Die Verbindungsbeschränkungen im Arbeitsspeicher wurden für eine bessere Unterstützung großer Clustertopologien erhöht.

Die API für Abhängigkeitsdiagramme wurde bisher mit einem statisch definierten Port ausgeführt.

Die Standardanzahl von Shards für clusterbezogene Elasticsearch-Shardeinstellungen wurde aktualisiert.

Bei der Filterung von Unternehmensmitgliedern nach Organisationsrolle auf der Seite „Personen“ wurde der Text für die Einträge im Dropdownmenü verbessert.

Die Teamrollen „Selektierung“ und „Verwalten“ werden während der Migration von Repositorys beibehalten.

Für Webanforderungen durch Unternehmensbesitzer wurde die Leistung erhöht.

HOCH: Im GitHub-Markdownparser wurde ein Sicherheitsrisiko aufgrund eines Ganzzahlüberlaufs ermittelt, das potenziell zur Offenlegung von Informationen und einer Remotebefehlsausführung (Remote Command Execution, RCE) führen könnte. Dieses Sicherheitsrisiko wurde über das GitHub Bug Bounty-Programm von Felix Wilhelm (Project Zero von Google) gemeldet, und es wurde die Kennung CVE-2022-24724 zugewiesen.

Bei Upgrades könnte es zu einem Fehler kommen, wenn die Uhr eines Hochverfügbarkeitsreplikats nicht mit dem primären Replikat synchron war.

OAuth-Anwendungen, die nach dem 1. September 2020 erstellt wurden, konnten den API-Endpunkt zum Überprüfen einer Autorisierung nicht nutzen.

Es war möglich, dass ein Benutzer einen Benutzer oder eine Organisation mit dem Namen „saml“ registrierte.

Die Pakete wurden auf die neuesten Sicherheitsversionen aktualisiert.

Die Speichereinstellungen für GitHub Packages konnten nicht in der Verwaltungskonsole validiert und gespeichert werden, wenn Azure Blob Storage verwendet wurde.

Bei der Konfigurationsoption mssql.backup.cadence trat bei ghe-config-check ein Fehler mit einer Warnung wegen eines ungültigen Zeichensatzes auf.

SystemStackError (Stapel zu tief), wenn mehr als 2^{^16} Schlüssel von Memcached abgerufen wurden, wurde behoben.

Eine Reihe ausgewählter Menüs auf der gesamten Website wurden falsch gerendert und waren nicht funktionsfähig.

Das Abhängigkeitsdiagramm kann jetzt auch ohne Sicherheitsrisikodaten aktiviert werden, sodass Kunden sehen können, welche Abhängigkeiten verwendet werden und welche Versionen sie haben. Die Aktivierung des Abhängigkeitsdiagramms ohne Aktivierung von GitHub Connect liefert keine Informationen über Sicherheitsrisiken.

Die Geheimnisüberprüfung überspringt die Überprüfung von ZIP- und anderen Archivdateien auf Geheimnisse.

MITTEL: Aufrufe der Geheimnisüberprüfungs-API konnten Warnmeldungen für Repositorys außerhalb des Bereichs der Anforderung zurückgeben.

Die Pakete wurden auf die neuesten Sicherheitsversionen aktualisiert.

Pages war nach einer MySQL-Geheimnisrotation nicht verfügbar, bis nginx manuell neu gestartet wurde.

Bei Migrationen konnte ein Fehler auftreten, wenn GitHub Actions aktiviert wurde.

Wenn der Wartungszeitplan mit einem ISO 8601-konformen Datum eingerichtet wurde, stimmte die tatsächlich festgelegte Zeit nicht überein, da die Zeitzone nicht in UTC umgewandelt wurde.

In der Konsole wurden falsche Fehlermeldungen bezüglich cloud-config.service ausgegeben.

Die Versionsnummer wurde nicht korrekt aktualisiert, nachdem ein Hotpatch mithilfe von ghe-cluster-each installiert wurde.

Webhook-Tabellenbereinigungsaufträge konnten gleichzeitig ausgeführt werden, was zu Ressourcenkonflikten und einer Verlängerung der Auftragslaufzeit führte.

Wenn ghe-repl-teardown vom primären System aus für ein Replikat ausgeführt wurde, wurde das Replikat nicht aus der MSSQL-Verfügbarkeitsgruppe entfernt.

Die Möglichkeit, E-Mail-basierte Benachrichtigungen auf Benutzer zu beschränken, deren E-Mail-Adressen zu einer verifizierten oder genehmigten Domäne gehörten, funktionierte nicht richtig.

Wenn die CAS-Authentifizierung verwendet wurde und die Option „Gesperrte Benutzer reaktivieren“ aktiviert war, wurden gesperrte Benutzer nicht automatisch reaktiviert.

Eine langwierige Datenbankmigration im Zusammenhang mit den Einstellungen für Sicherheitswarnungen konnte den Abschluss des Upgrades verzögern.

Der Datenverbindungseintrag von GitHub Connect umfasst nun die Anzahl von aktiven und inaktiven Benutzern sowie die konfigurierte Inaktivitätsdauer.

Die Pakete wurden auf die neuesten Sicherheitsversionen aktualisiert. Mit diesen Updates wurde Log4j auf die Version 2.17.1 aktualisiert. Hinweis: Vorherige Risikominderungen, die in 3.3.1, 3.2.6, 3.1.14 und 3.0.22 veröffentlicht wurden, reichen aus, um die Auswirkungen von CVE-2021-44228, CVE-2021-45046, CVE-2021-45105 und CVE-2021-44832 in diesen Versionen von GitHub Enterprise Server zu behandeln.

Bereinigen von mehr Geheimnissen in den generierten Supportbundles

Benutzer in Teams mit der Rolle des Sicherheitsmanagers werden jetzt über Sicherheitswarnungen für Repositorys, die sie überwachen, benachrichtigt.

Die Sicherheits-Manager-Komponente zeigt eine weniger aggressive Warnung an, sobald die maximale Anzahl von Teams erreicht ist.

Die Seite zur Verwaltung des Repositoryzugriffs sollte 403 zurückgeben, wenn versucht wird, ein Sicherheits-Manager-Team aus dem Repository zu entfernen.

Die Pakete wurden auf die neuesten Sicherheitsversionen aktualisiert.

Selbstgehostete Actions-Runner konnten nach einem Upgrade von einer älteren GHES-Installation keine Selbstaktualisierung oder neue Aufträge ausführen.

Speichereinstellungen konnten bei der Konfiguration von MinIO als Blobspeicher für GitHub-Pakete nicht validiert werden.

Die Speichereinstellungen für GitHub Actions konnten nicht in der Verwaltungskonsole validiert und gespeichert werden, wenn „Pfadformat erzwingen“ ausgewählt war.

Actions wäre nach einer Aktualisierung mit eingestelltem Wartungsmodus in einem gestoppten Zustand verblieben.

Beim Ausführen von ghe-config-apply können manchmal Fehler aufgrund von Berechtigungsproblemen in /data/user/tmp/pages auftreten.

Die Schaltfläche zum Speichern in der Verwaltungskonsole konnte durch Scrollen in Browsern mit niedrigerer Auflösung nicht erreicht werden.

IOPS- und Speicherdatenverkehr-Überwachungsdiagramme wurden nach dem Collectd-Versionsupgrade nicht aktualisiert.

Einige Aufträge in Verbindung mit Webhooks konnten große Mengen an Protokollen generieren.

Auf den Websiteadministratorseiten war ein Navigationselement für die Abrechnung sichtbar.

Verschiedene Dokumentationslinks führten zum Fehler „404: Nicht gefunden“.

Kritisch: Ein Sicherheitsrisiko bei der Remotecodeausführung in der Log4j-Bibliothek, die als CVE-2021-44228 identifiziert wurde, betraf alle Versionen von GitHub Enterprise Server vor 3.3.1. Die Log4j-Bibliothek wird in einem Open Source-Dienst verwendet, der auf der GitHub Enterprise Server-Instanz ausgeführt wird. Dieses Sicherheitsrisiko wurde in den GitHub Enterprise Server-Versionen 3.0.22, 3.1.14, 3.2.6 und 3.3.1 behoben. Weitere Informationen findest du in [diesem Beitrag] (https://github.blog/2021-12-13-githubs-response-to-log4j-vulnerability-cve-2021-44228/) des GitHub-Blogs.

Aktualisierung vom 17. Dezember 2021: Die Korrekturen in diesem Release minimieren auch CVE-2021-45046, das nach diesem Release veröffentlicht wurde. Es ist kein zusätzliches Upgrade für GitHub Enterprise Server erforderlich, um sowohl CVE-2021-44228 als auch CVE-2021-45046 zu minimieren.

Organization owners can now grant teams the access to manage security alerts and settings on their repositories. The "security manager" role can be applied to any team and grants the team's members the following access:

• Read access on all repositories in the organization.
• Write access on all security alerts in the organization.
• Access to the organization-level security tab.
• Write access on security settings at the organization level.
• Write access on security settings at the repository level.

The security manager role is available as a public beta and subject to change. For more information, see "Managing security managers in your organization." [Updated 2022-07-29]

GitHub Actions now supports ephemeral (single job) self-hosted runners and a new workflow_job webhook to make autoscaling runners easier.

Ephemeral runners are good for self-managed environments where each job is required to run on a clean image. After a job is run, ephemeral runners are automatically unregistered from your GitHub Enterprise Server instance, allowing you to perform any post-job management.

You can combine ephemeral runners with the new workflow_job webhook to automatically scale self-hosted runners in response to GitHub Actions job requests.

For more information, see "Autoscaling with self-hosted runners" and "Webhook events and payloads."

A dark high contrast theme, with greater contrast between foreground and background elements, is now available on GitHub Enterprise Server 3.3. This release also includes improvements to the color system across all GitHub themes.

For more information about changing your theme, see "Managing your theme settings."

GitHub Enterprise Server 3.3 includes improvements to the maintenance of repositories, especially for repositories that contain many unreachable objects. Note that the first maintenance cycle after upgrading to GitHub Enterprise Server 3.3 may take longer than usual to complete.

GitHub Enterprise Server 3.3 includes the public beta of a repository cache for geographically-distributed teams and CI infrastructure. The repository cache keeps a read-only copy of your repositories available in additional geographies, which prevents clients from downloading duplicate Git content from your primary instance. For more information, see "About repository caching."

GitHub Enterprise Server 3.3 includes improvements to the user impersonation process. An impersonation session now requires a justification for the impersonation, actions are recorded in the audit log as being performed as an impersonated user, and the user who is impersonated will receive an email notification that they have been impersonated by an enterprise administrator. For more information, see "Impersonating a user."

A new stream processing service has been added to facilitate the growing set of events that are published to the audit log, including events associated with Git and GitHub Actions activity.

The GitHub Connect data connection record now includes a list of enabled GitHub Connect features. [Updated 2021-12-09]

An expiration date can now be set for new and existing personal access tokens. Setting an expiration date on personal access tokens is highly recommended to prevent older tokens from leaking and compromising security. Token owners will receive an email when it's time to renew a token that's about to expire. Tokens that have expired can be regenerated, giving users a duplicate token with the same properties as the original.

When using a personal access token with the GitHub API, a new GitHub-Authentication-Token-Expiration header is included in the response, which indicates the token's expiration date. For more information, see "Creating a personal access token."

Notification emails from discussions now include (Discussion #xx) in the subject, so you can recognize and filter emails that reference discussions.

Public repositories now have a Public label next to their names like private and internal repositories. This change makes it easier to identify public repositories and avoid accidentally committing private code.

If you specify the exact name of a branch when using the branch selector menu, the result now appears at the top of the list of matching branches. Previously, exact branch name matches could appear at the bottom of the list.

When viewing a branch that has a corresponding open pull request, GitHub Enterprise Server now links directly to the pull request. Previously, there would be a prompt to contribute using branch comparison or to open a new pull request.

You can now click a button to copy the full raw contents of a file to the clipboard. Previously, you would need to open the raw file, select all, and then copy. To copy the contents of a file, navigate to the file and click in the toolbar. Note that this feature is currently only available in some browsers.

When creating a new release, you can now select or create the tag using a dropdown selector, rather than specifying the tag in a text field. For more information, see "Managing releases in a repository."

A warning is now displayed when viewing a file that contains bidirectional Unicode text. Bidirectional Unicode text can be interpreted or compiled differently than it appears in a user interface. For example, hidden bidirectional Unicode characters can be used to swap segments of text in a file. For more information about replacing these characters, see the GitHub changelog.

You can now use CITATION.cff files to let others know how you would like them to cite your work. CITATION.cff files are plain text files with human- and machine-readable citation information. GitHub Enterprise Server parses this information into common citation formats such as APA and BibTeX. For more information, see "About CITATION files."

You can use new keyboard shortcuts for quotes and lists in Markdown files, issues, pull requests, and comments.

• To add quotes, use cmd shift . on Mac, or ctrl shift . on Windows and Linux.
• To add an ordered list, use cmd shift 7 on Mac, or ctrl shift 7 on Windows and Linux.
• To add an unordered list, use cmd shift 8 on Mac, or ctrl shift 8 on Windows and Linux.

See "Keyboard shortcuts" for a full list of available shortcuts.

You can now use footnote syntax in any Markdown field. Footnotes are displayed as superscript links that you can click to jump to the referenced information, which is displayed in a new section at the bottom of the document. For more information about the syntax, see "Basic writing and formatting syntax."

When viewing Markdown files, you can now click in the toolbar to view the source of a Markdown file. Previously, you needed to use the blame view to link to specific line numbers in the source of a Markdown file.

You can now add images and videos to Markdown files in gists by pasting them into the Markdown body or selecting them from the dialog at the bottom of the Markdown file. For information about supported file types, see "Attaching files."

GitHub Enterprise Server now automatically generates a table of contents for Wikis, based on headings.

When dragging and dropping files into a Markdown editor, such as images and videos, GitHub Enterprise Server now uses the mouse pointer location instead of the cursor location when placing the file.

You can now search issues by label using a logical OR operator. To filter issues using logical OR, use the comma syntax. For example, label:"good first issue","bug" will list all issues with a label of good first issue or bug. For more information, see "Filtering and searching issues and pull requests."

Improvements have been made to help teams manage code review assignments. You can now:

• Limit assignment to only direct members of the team.
• Continue with automatic assignment even if one or more members of the team are already requested.
• Keep a team assigned to review even if one or more members is newly assigned.

The timeline and reviewers sidebar on the pull request page now indicate if a review request was automatically assigned to one or more team members.

For more information, see the GitHub changelog.

You can now filter pull request searches to only include pull requests you are directly requested to review.

Filtered files in pull requests are now completely hidden from view, and are no longer shown as collapsed in the "Files Changed" tab. The "File Filter" menu has also been simplified. For more information, see "Filtering files in a pull request."

You can now create "composite actions" which combine multiple workflow steps into one action, and includes the ability to reference other actions. This makes it easier to reduce duplication in workflows. Previously, an action could only use scripts in its YAML definition. For more information, see "Creating a composite action."

Managing self-hosted runners at the enterprise level no longer requires using personal access tokens with the admin:enterprise scope. You can instead use the new manage_runners:enterprise scope to restrict the permissions on your tokens. Tokens with this scope can authenticate to many REST API endpoints to manage your enterprise's self-hosted runners.

The audit log now includes additional events for GitHub Actions. Audit log entries are now recorded for the following events:

• A self-hosted runner is registered or removed.
• A self-hosted runner is added to a runner group, or removed from a runner group.
• A runner group is created or removed.
• A workflow run is created or completed.
• A workflow job is prepared. Importantly, this log includes the list of secrets that were provided to the runner.

For more information, see "Security hardening for GitHub Actions."

GitHub Enterprise Server 3.3 contains performance improvements for job concurrency with GitHub Actions. For more information about the new performance targets for a range of CPU and memory configurations, see "Getting started with GitHub Actions for GitHub Enterprise Server."

To mitigate insider man in the middle attacks when using actions resolved through GitHub Connect to GitHub.com from GitHub Enterprise Server, the actions namespace (owner/name) is retired on use. Retiring the namespace prevents that namespace from being created on your GitHub Enterprise Server instance, and ensures all workflows referencing the action will download it from GitHub.com.

When a repository is deleted, any associated package files are now immediately deleted from your GitHub Packages external storage.

Dependency review is out of beta and is now generally available for GitHub Advanced Security customers. Dependency review provides an easy-to-understand view of dependency changes and their security impact in the "Files changed" tab of pull requests. It informs you of which dependencies were added, removed, or updated, along with vulnerability information. For more information, see "Reviewing dependency changes in a pull request."

Dependabot is now available as a private beta, offering both version updates and security updates for several popular ecosystems. Dependabot on GitHub Enterprise Server requires GitHub Actions and a pool of self-hosted runners configured for Dependabot use. Dependabot on GitHub Enterprise Server also requires GitHub Connect to be enabled. To learn more and sign up for the beta, contact the GitHub Sales team.

The depth of CodeQL's analysis has been improved by adding support for more libraries and frameworks and increasing the coverage of our existing library and framework models. JavaScript analysis now supports most common templating languages, and Java now covers more than three times the endpoints of previous CodeQL versions. As a result, CodeQL can now detect even more potential sources of untrusted user data, steps through which that data flows, and potentially dangerous sinks where the data could end up. This results in an overall improvement of the quality of code scanning alerts.

CodeQL now supports scanning standard language features in Java 16, such as records and pattern matching. CodeQL is able to analyze code written in Java version 7 through 16. For more information about supported languages and frameworks, see the CodeQL documentation.

Improvements have been made to the code scanning on:push trigger when code is pushed to a pull request. If an on:push scan returns results that are associated with a pull request, code scanning will now show these alerts on the pull request.

Some other CI/CD systems can be exclusively configured to trigger a pipeline when code is pushed to a branch, or even exclusively for every commit. Whenever such an analysis pipeline is triggered and results are uploaded to the SARIF API, code scanning will also try to match the analysis results to an open pull request. If an open pull request is found, the results will be published as described above. For more information, see the GitHub changelog.

You can now use the new pull request filter on the code scanning alerts page to find all the code scanning alerts associated with a pull request. A new "View all branch alerts" link on the pull request "Checks" tab allows you to directly view code scanning alerts with the specific pull request filter already applied. For more information, see the GitHub changelog.

User defined patterns for secret scanning is out of beta and is now generally available for GitHub Advanced Security customers. Also new in this release is the ability to edit custom patterns defined at the repository, organization, and enterprise levels. After editing and saving a pattern, secret scanning searches for matches both in a repository's entire Git history and in any new commits. Editing a pattern will close alerts previously associated with the pattern if they no longer match the updated version. Other improvements, such as dry-runs, are planned in future releases. For more information, see "Defining custom patterns for secret scanning."

Most REST API previews have graduated and are now an official part of the API. Preview headers are no longer required for most REST API endpoints, but will still function as expected if you specify a graduated preview in the Accept header of a request. For previews that still require specifying the preview in the Accept header of a request, see "API previews."

You can now use the REST API to configure custom autolinks to external resources. The REST API now provides beta GET/POST/DELETE endpoints which you can use to view, add, or delete custom autolinks associated with a repository. For more information, see "Autolinks."

You can now use the REST API to sync a forked repository with its upstream repository. For more information, see "Branches" in the REST API documentation.

Enterprise administrators on GitHub Enterprise Server can now use the REST API to enable or disable Git LFS for a repository. For more information, see "Repositories."

You can now use the REST API to query the audit log for an enterprise. While audit log forwarding provides the ability to retain and analyze data with your own toolkit and determine patterns over time, the new endpoint can help you perform limited analysis on recent events. For more information, see "GitHub Enterprise administration" in the REST API documentation.

GitHub App user-to-server API requests can now read public resources using the REST API. This includes, for example, the ability to list a public repository's issues and pull requests, and to access a public repository's comments and content.

When creating or updating a repository, you can now configure whether forking is allowed using the REST and GraphQL APIs. Previously, APIs for creating and updating repositories didn't include the fields allow_forking (REST) or forkingAllowed (GraphQL). For more information, see "Repositories" in the REST API documentation and "Repositories" in the GraphQL API documentation.

A new GraphQL mutation createCommitOnBranch makes it easier to add, update, and delete files in a branch of a repository. Compared to the REST API, you do not need to manually create blobs and trees before creating the commit. This allows you to add, update, or delete multiple files in a single API call.

Commits authored using the new API are automatically GPG signed and are marked as verified in the GitHub Enterprise Server UI. GitHub Apps can use the mutation to author commits directly or on behalf of users.

When a new tag is created, the push webhook payload now always includes a head_commit object that contains the data of the commit that the new tag points to. As a result, the head_commit object will always contain the commit data of the payload's after commit.

Page loads and jobs are now significantly faster for repositories with many Git refs.

After upgrading to GitHub Enterprise Server 3.3, GitHub Actions may fail to start automatically. To resolve this issue, connect to the appliance via SSH and run the ghe-actions-start command.

On a freshly set up GitHub Enterprise Server instance without any users, an attacker could create the first admin user.

Custom firewall rules are removed during the upgrade process.

Git LFS tracked files uploaded through the web interface are incorrectly added directly to the repository.

Issues cannot be closed if they contain a permalink to a blob in the same repository, where the blob's file path is longer than 255 characters.

When "Users can search GitHub.com" is enabled with GitHub Connect, issues in private and internal repositories are not included in GitHub.com search results.

The GitHub Packages npm registry no longer returns a time value in metadata responses. This was done to allow for substantial performance improvements. We continue to have all the data necessary to return a time value as part of the metadata response and will resume returning this value in the future once we have solved the existing performance issues.

Resource limits that are specific to processing pre-receive hooks may cause some pre-receive hooks to fail.

GitHub Actions storage settings cannot be validated and saved in the Management Console when "Force Path Style" is selected, and must instead be configured with the ghe-actions-precheck command line utility.

GitHub Enterprise Server 3.3 instances installed on Azure and provisioned with 32+ CPU cores would fail to launch, due to a bug present in the current Linux kernel. [Updated: 2022-04-08]

In einigen Fällen stellen GitHub Advanced Security-Kunden, die ein Upgrade auf GitHub Enterprise Server 3.5 oder höher durchführen, fest, dass Warnungen aus Geheimnisscans in der Webbenutzeroberfläche und der REST-API fehlen. Um sicherzustellen, dass die Warnungen sichtbar bleiben, überspringe Version 3.4 nicht, wenn du ein Upgrade von einer früheren Version auf Version 3.5 oder höher durchführst. In den Patchreleases 3.5.5 und 3.6.1 ist ein Fix verfügbar.

Weitere Informationen zum Planen eines Upgrades über Version 3.4 findest du unter Upgrade-Assistent. [Aktualisiert: 2022-09-01]

GitHub Enterprise Server 2.22 was discontinued on September 23, 2021. This means that no patch releases will be made, even for critical security issues, after this date. For better performance, improved security, and new features, upgrade to the newest version of GitHub Enterprise Server as soon as possible.

GitHub Enterprise Server 3.0 will be discontinued on February 16, 2022. This means that no patch releases will be made, even for critical security issues, after this date. For better performance, improved security, and new features, upgrade to the newest version of GitHub Enterprise Server as soon as possible.

Starting with GitHub Enterprise Server 3.3, GitHub Enterprise Server on XenServer is deprecated and is no longer supported. Please contact GitHub Support with questions or concerns.

To prevent accidental logging or exposure of access_tokens, we discourage the use of OAuth Application API endpoints and the use of API authentication using query parameters. View the following posts to see the proposed replacements:

• Replacement OAuth Application API endpoints
• Replacement authentication using headers instead of query param

These endpoints and authentication route are planned to be removed from GitHub Enterprise Server in GitHub Enterprise Server 3.4.

The CodeQL runner is being deprecated. GitHub Enterprise Server 3.3 will be the final release series that supports the CodeQL runner. Starting with GitHub Enterprise Server 3.4, the CodeQL runner will be removed and no longer supported. The CodeQL CLI version 2.6.2 or greater is a feature-complete replacement for the CodeQL runner. For more information, see the GitHub changelog.

Starting in GitHub Enterprise Server 3.1, support for GitHub's proprietary bit-cache extensions began to be phased out. These extensions are now deprecated in GitHub Enterprise Server 3.3.

Any repositories that were already present and active on your GitHub Enterprise Server instance running version 3.1 or 3.2 will have been automatically updated.

Repositories which were not present and active before upgrading to GitHub Enterprise Server 3.3 may not perform optimally until a repository maintenance task is run and has successfully completed.

To start a repository maintenance task manually, browse to https://<hostname>/stafftools/repositories/<owner>/<repository>/network for each affected repository and click the Schedule button.

GitHub Connect will no longer work after June 3rd for instances running GitHub Enterprise Server 3.1 or older, due to the format of GitHub authentication tokens changing. To continue using GitHub Connect, upgrade to GitHub Enterprise Server 3.2 or later. For more information, see the GitHub Blog. [Updated: 2022-06-14]