Ang corrective updates para sa GitLab collaborative development platform gipatik na — 17.9.2, 17.8.5, ug 17.7.7 — nga nag-ayo sa usa ka vulnerability (CVE-2025-25291, CVE-2025-25292) nga nagtugot sa pag-bypass sa SAML (Security Language Assertion Markup) Ang pagkahuyang anaa sa Ruby library ruby-saml, nga nagpatuman sa mga gimbuhaton alang sa pagtugot sa SAML. Dugang sa GitLab, ang pagkahuyang makaapekto usab sa ubang mga proyekto nga naggamit niini nga librarya. Ang isyu giayo sa ruby-saml 1.18.0 ug 1.12.4 updates.
Ang pagkahuyang tungod sa mga kalainan sa paagi sa pag-parse sa ReXML ug Nokogiri sa mga XML nga dokumento, nga miresulta sa mga dokumento nga adunay lainlaing mga istruktura nga namugna sa pagproseso sa parehas nga XML nga dokumento. Ang problema mao nga ang REXML ug Nokogiri nagdumala sa digital nga mga pirma sa usa ka XML nga dokumento sa lahi nga paagi, nga magamit sa paghimo og mga kondisyon diin ang usa ka pirma gigamit alang sa pag-verify ug ang lain alang sa pamatuod sa user. Kini nga kapabilidad nagtugot sa usa ka tig-atake sa paggamit sa XML Signature Wrapping (XSW) nga paagi sa pag-atake aron sa paghimo sa usa ka SAML nga tubag alang sa arbitraryong sulod, nga gihatagan og access sa bisan unsa nga gipirmahan nga SAML nga dokumento.
Ang isyu giila isip resulta sa usa ka inisyatiba sa GitHub, nga naghunahuna sa posibilidad sa paglalin sa GitHub aron magamit kini nga librarya ug, aron masulayan ang seguridad, nag-organisar og kompetisyon (Bug bounty) sa pag-hack sa usa ka pagsulay nga palibot diin ang ruby-saml library gigamit alang sa SAML authentication. Gipunting sa usa ka tigdukiduki sa seguridad ang pagkahuyang. Samtang nag-imbestigar sa isyu, usa ka empleyado sa GitHub ang nakadiskubre og laing pamaagi sa pag-atake base sa samang prinsipyo.
Ang posibilidad sa pag-atake sa ulahi gikumpirma alang sa GitLab. Sa konteksto sa GitLab, ang pagkahuyang nagtugot sa usa ka tig-atake nga adunay access sa bisan unsang husto nga gipirmahan nga SAML nga dokumento aron mapamatud-an ingon usa ka lahi nga tiggamit, i.e. Aron malaktawan ang pag-authenticate ug mag-log in isip lain nga tiggamit, ang tig-atake kinahanglan nga adunay access sa usa sa nagtrabaho nga mga account.
Source: opennet.ru
