GitLab публикува кръпки за отстраняване на критичен недостатък, засягащ Community Edition (CE) и Enterprise Edition (EE), който може да доведе до заобикаляне на удостоверяването. Уязвимостта се корени в библиотеката ruby-saml (CVE-2024-45409, CVSS оценка: 10.0), което може да позволи на атакуващия да влезе като произволен потребител в уязвимата система. Тя беше отстранена от поддържащите я миналата седмица. Проблемът в резултат на това, че библиотеката не проверява правилно подписа на SAML отговора. SAML, съкращение от Security Assertion Markup Language (език за маркиране на твърдения за сигурност), е протокол, който позволява еднократно влизане (SSO) и обмен на данни за удостоверяване и упълномощаване в множество приложения и уебсайтове.“ По този начин неавтентифициран нападател с достъп до всеки подписан SAML документ (от IdP) може да фалшифицира SAML Response/Assertion с произволно съдържание, според консултацията по сигурността. „Това би позволило на атакуващия да влезе като произволен потребител в рамките на уязвимата система.“ Струва си да се отбележи, че недостатъкът засяга и omniauth-saml, който достави своя собствена актуализация (версия 2.2.1) за обновяване на ruby-saml до версия 1.17. Последната кръпка от GitLab има за цел да актуализира зависимостите omniauth-saml до версия 2.2.1 и ruby-saml до 1.17.0. Това включва версии 17.3.3, 17.2.7, 17.1.8, 17.0.8 и 16.11.10. Като смекчаващи мерки GitLab призовава потребителите на самоуправляеми инсталации да активират двуфакторното удостоверяване (2FA) за всички акаунти и да забранят опцията SAML two-factor bypass.
GitLab не споменава, че недостатъкът се експлоатира, но е предоставила индикатори за опити за успешна експлоатация, което предполага, че заплахите може би активно се опитват да се възползват от недостатъците, за да получат достъп до уязвими екземпляри на GitLab. „Успешните опити за експлоатация ще предизвикат събития в дневника, свързани със SAML“, се казва в съобщението. „Успешен опит за експлоатиране ще регистрира каквато и да е стойност на extern_id, зададена от атакуващия, който се опитва да експлоатира.“ „Неуспешните опити за експлоатиране могат да генерират ValidationError от библиотеката RubySaml. Това може да се дължи на различни причини, свързани със сложността на изработването на работещ експлойт.“ Разработката идва в момент, когато Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) добави пет пробива в сигурността към своя каталог Known Exploited Vulnerabilities (KEV), включително наскоро разкрит критичен бъг, засягащ Apache HugeGraph-Server (CVE-2024-27348, CVSS score: 9.8), въз основа на доказателства за активна експлоатация. На федералните агенции от гражданската изпълнителна власт (FCEB) беше препоръчано да отстранят установените уязвимости до 9 октомври 2024 г., за да защитят мрежите си от активни заплахи.
