GitLab naprawia podatności związane z biblioteką ruby-saml

GitLab ogłosił wydanie nowych wersji oprogramowania. Aktualizacja dotyczy zarówno Community Edition, jak i Enterprise Edition. Poprawione wersje to  17.9.2, 17.8.5 oraz 17.7.7.

Najważniejsza poprawka dotyczy dwóch podatności (CVE-2025-25291, CVE-2025-25292), zgłoszonych w bibliotece ruby-saml, która jest wykorzystywana przez GitLab do SAML SSO (security assertion markup language; single sign-on). W pewnych okolicznościach napastnik, posiadający dostęp do poprawnie podpisanego dokumentu SAML przez identity providera, może się uwierzytelnić jako inny użytkownik. Jak widać, do wykorzystania podatności wymagany jest dostęp do istniejącego konta. Pierwsza z podatności została zgłoszona w ramach programu bug bounty HackerOne.

W przypadku braku możliwości aktualizacji wersji GitLab do jednej z wymienionych, zalecane są następujące kroki (wymagane są wszystkie!):

1. Włączenie 2FA dla wszystkich kont w GitLab (chodzi o samą instancję GitLab, włączenie 2FA u identity providera nie jest tu rozwiązaniem)
2. Wyłączenie opcji SAML 2FA bypass
3. Włączenie zatwierdzania przez administratora tworzenia nowych użytkowników gitlab_rails['omniauth_block_auto_created_users'] = true

Z kolei podatność CVE-2025-27407 dotycząca GraphQL skutkować może zdalnym wykonaniem kodu (RCE). Podatność może zostać wykorzystana przez uwierzytelnionego napastnika podczas wykorzystania funkcjonalności Direct Transfer. Domyślnie nie jest ona włączona, a jej wyłączenie eliminuje możliwość wykorzystania tej podatności.

Tradycyjnie zalecamy jak najszybszą aktualizację oprogramowania do jednej bezpiecznych wersji. Osoby zainteresowane szczegółami podatności odsyłamy do artykułu na blogu GitHub, który je opisuje.

~Paweł Różański