Уязвимост в библиотеката ruby-saml, водеща до заобикаляне на аутентификацията в GitLab

Пуснати са корекционни актуализации на платформата за съвместна разработка GitLab — 17.9.2, 17.8.5 и 17.7.7, които адресират уязвимост (CVE-2025-25291, CVE-2025-25292), позволяваща заобикаляне на SAML (Security Assertion Markup Language) базираната автентикация. Уязвимостта е налична в библиотеката Ruby ruby-saml, която реализира функции за SAML автентикация. Освен GitLab, уязвимостта засяга и други проекти, използващи тази библиотека. Проблемата е отстранена в актуализациите на ruby-saml 1.18.0 и 1.12.4.

Уязвимостта е причинена от различия в обработката на XML документи от парсерите ReXML и Nokogiri, в резултат на което при обработка на един и същ XML документ се генерират документи с различна структура. Проблемът е, че REXML и Nokogiri обработват цифровите подписи в XML документа по различен начин, което може да се използва за създаване на условия, при които при проверка ще се използва един подпис, а при удостоверяване на потребителя - друг. Тази възможност позволява на нападателя да приложи метода XSW (XML Signature Wrapping) за подправяне на отговора SAML за произволно съдържание, имайки достъп до произволен подписан SAML документ.

Проблемът е идентифициран в резултат на инициативата на компанията GitHub, която обсъждаше възможността за преминаване на GitHub към използването на тази библиотека и за проверка на сигурността организира конкурс (Bug bounty) за хакване на тестово окружение, в което за SAML удостоверяване се ползва библиотеката ruby-saml. Един от изследователите по сигурност забеляза наличието на уязвимост. В процеса на разглеждане на проблема, служител на GitHub откри още един начин за атака, основан на същия принцип.

По-късно възможността за атака беше потвърдена за GitLab. В контекста на GitLab, уязвимостта позволява на нападателя, имайки достъп до произволен коректно подписан SAML документ, да се удостоверява като друг потребител, т.е. за да заобиколи удостоверяването и да влезе като друг потребител, нападателят вече трябва да има достъп до една от работещите потребителски сметки.

Източник: opennet.ru