Foram publicadas atualizações corretivas para a plataforma de desenvolvimento colaborativo GitLab — 17.9.2, 17.8.5 e 17.7.7, nas quais foi corrigida uma vulnerabilidade (CVE-2025-25291, CVE-2025-25292) que permite contornar a autenticação baseada em SAML (Security Assertion Markup Language). A vulnerabilidade está presente na biblioteca Ruby ruby-saml, que implementa funcionalidades para autenticação SAML. Além do GitLab, a vulnerabilidade afeta outros projetos que utilizam esta biblioteca. O problema foi corrigido nas atualizações ruby-saml 1.18.0 e 1.12.4.
A vulnerabilidade foi causada por diferenças na análise de documentos XML pelos parseadores ReXML e Nokogiri, resultando na geração de documentos estruturalmente diferentes ao processar o mesmo documento XML. O problema reside no fato de que REXML e Nokogiri tratam de maneira diferente as assinaturas digitais em um documento XML, o que pode ser usado para criar condições sob as quais uma assinatura será utilizada na verificação, enquanto outra será utilizada na certificação do usuário. Essa possibilidade permite que um invasor utilize o método de ataque XSW (XML Signature Wrapping) para falsificar uma resposta SAML para conteúdo arbitrário, tendo acesso a qualquer documento SAML assinado.
O problema foi identificado como parte da iniciativa da GitHub, que considerava a possibilidade de migrar o GitHub para o uso desta biblioteca e, para verificar a segurança, organizou um concurso de recompensas por falhas (Bug bounty) em um ambiente de teste, no qual foi utilizada a biblioteca ruby-saml para autenticação SAML. Um dos pesquisadores de segurança notou a vulnerabilidade. No processo de análise do problema, um funcionário da GitHub identificou mais um vetor de ataque baseado no mesmo princípio.
Mais tarde, a possibilidade de ataque foi confirmada para o GitLab. No contexto do GitLab, a vulnerabilidade permite que um invasor, que tenha acesso a qualquer documento SAML devidamente assinado, autentique-se como outro usuário, ou seja, para contornar a autenticação e entrar como outro usuário, o invasor já deve ter acesso a uma das contas de trabalho autorizadas.
Fonte: opennet.ru
