Janë publikuar përditësime korrigjuese për platformën e bashkëpunimit GitLab - 17.9.2, 17.8.5 dhe 17.7.7, në të cilat është korrigjuar një vulnerabilitet (CVE-2025-25291, CVE-2025-25292) që lejon kalimin e autentifikimit që bazohet në SAML (Security Assertion Markup Language). Vulnerabiliteti është në bibliotekën Ruby ruby-saml, e cila zbatohet për funksione të autorizimit SAML. Përveç GitLab, vulnerabiliteti prek edhe projekte të tjera që përdorin këtë bibliotekë. Problemi është zgjidhur në përditësimet e ruby-saml 1.18.0 dhe 1.12.4.
Vulnerabiliteti shkaktohet nga ndryshimet në parse-imin e dokumenteve XML nga parser-a ReXML dhe Nokogiri, si rezultat, gjatë përpunimit të të njëjtit dokument XML, krijoheshin dokumente të ndryshme në strukturë. Problemi është se REXML dhe Nokogiri trajtojnë ndryshe nënshkrimet dixhitale në dokumentin XML, gjë që mund të përdoret për të krijuar kushte ku gjatë verifikimit përdoret një nënshkrim, ndërsa gjatë akreditimit të përdoruesit një tjetër. Kjo mundësi i lejon një sulmuesi të përdorë metodën e sulmit XSW (XML Signature Wrapping) për të falsifikuar përgjigjen SAML për përmbajtje të rastësishme, duke pasur qasje në çdo dokument SAML të nënshkruar.
Problemi u identifikua si rezultat i iniciativës nga kompania GitHub, e cila shqyrtonte mundësinë e kalimit në përdorimin e kësaj biblioteke dhe për të kontrolluar sigurinë organizoi një konkurs (Bug bounty) për të thyer ambientin testues, në të cilin për autentifikimin SAML përdorej biblioteka ruby-saml. Një nga studiuesit e sigurisë vuri re praninë e këtij vulnerabiliteti. Gjatë shqyrtimit të problemit, një punonjës i GitHub zbuloi një mënyrë tjetër sulmi të bazuar në të njëjtin princip.
Më pas, mundësia e kryerjes së sulmit u konfirmua për GitLab. Në kontekstin e GitLab, vulnerabiliteti i lejon një sulmuesi, i cili ka qasje në çdo dokument SAML të nënshkruar siç duhet, të kalojë autentifikimin nën një përdorues tjetër, pra, për të kaluar autentifikimin dhe për t'u futur si një përdorues tjetër, sulmuesi duhet të ketë akses në një nga llogaritë e punës.
Burimi: opennet.ru
