Megjelentek a GitLab közös fejlesztési platformjához tartozó javítófrissítések – 17.9.2, 17.8.5 és 17.7.7 – amelyek megszüntették a SAML (Security Assertion Markup Language) alapú hitelesítést megkerülő sebezhetőségeket (CVE-2025-25291, CVE-2025-25292). A sebezhetőség a ruby-saml Ruby könyvtárban található, amely funkciókat valósít meg a SAML hitelesítéshez. A GitLab mellett a sebezhetőség más projekteket is érint, amelyek ezt a könyvtárat használják. A probléma a ruby-saml 1.18.0 és 1.12.4 frissítésekben lett orvosolva.
A sebezhetőséget a ReXML és a Nokogiri XML dokumentumok feldolgozásának eltérései okozzák, amelyek következtében ugyanazon XML dokumentum feldolgozása során eltérő szerkezetű dokumentumok jöttek létre. A probléma az, hogy az REXML és a Nokogiri eltérően kezelik a digitális aláírásokat az XML dokumentumban, ami lehetővé teszi a támadók számára, hogy olyan feltételeket teremtsenek, amelyek esetén egyik aláírást használnak a hitelesítés során, míg egy másikat az alany azonosításánál. Ez a lehetőség lehetőséget ad a támadónak az XSW (XML Signature Wrapping) támadási módszer alkalmazására a SAML válaszok hamisítására bármilyen tartalom esetében, amennyiben hozzáféréssel rendelkezik bármely aláírt SAML dokumentumhoz.
A probléma a GitHub kezdeményezése során került előtérbe, amely azzal foglalkozott, hogy a GitHub átálljon e könyvtár használatára, és biztonsági ellenőrzés céljából bug bounty versenyt hirdettek egy tesztkörnyezet feltörésére, amelyben a SAML hitelesítést a ruby-saml könyvtár segítségével valósították meg. Az egyik biztonsági kutató felfigyeltek a sebezhetőségre. A probléma vizsgálata során a GitHub munkatársa egy új, ugyanazon elven alapuló támadási módot is észlelt.
Később a támadási lehetőség megerősítést nyert a GitLab esetében. A GitLab kontextusában a sebezhetőség lehetővé teszi a támadónak, aki hozzáfér egy érvényesen aláírt SAML dokumentumhoz, hogy egy másik felhasználóként átjusson a hitelesítésen, azaz a hitelesítés megkerüléséhez és egy másik felhasználó bejelentkezéséhez a támadónak már hozzáféréssel kell rendelkeznie az egyik munkahelyi felhasználói fiókhoz.
Forrás: opennet.ru
