GitLab устранил уязвимости и призывает пользователей обновиться

GitLab устранил ряд тревожных уязвимостей. В компании сообщили о девяти проблемах, касающихся их решений Community Edition (CE) и Enterprise Edition (EE), и призвали пользователей незамедлительно установить обновления. В опубликованном уведомлении о безопасности GitLab указал, что среди девяти недостатков есть два критических, которые позволяют злоумышленникам обойти аутентификацию. Пользователям настоятельно рекомендуют обновить свои установки GitLab CE/EE до версий 17.7.7, 17.8.5 и 17.9.2 как можно скорее. GitLab.com уже обновлён, и клиенты GitLab Dedicated получат обновления автоматически, поэтому им не нужно ничего делать. Однако пользователи, управляющие своими установками, тоже должны позаботиться об обновлениях. "Мы настоятельно рекомендуем всем установкам, использующим версии, затронутые описанными ниже проблемами, обновиться до последней версии как можно скорее", - сказал GitLab. Две проблемы критическойSeverity обозначены как CVE-2025-25291 и CVE-2025-25292. Они были обнаружены в библиотеке ruby-saml, которая используется для аутентификации SAML Single Sign-On (SSO) на уровне экземпляра или группы. Аутентифицированный злоумышленник с доступом к действительному подписанному SAML-документу может выдать себя за другого пользователя с той же средой SAML Identity Provider (IdP) и, таким образом, получить доступ к его учетной записи. Это, в свою очередь, может привести к утечке данных, повышению привилегий и к другим проблемам. Пользователи, которые не могут немедленно установить патч, должны минимизировать риски, убедившись, что у всех пользователей в самоуправляемых экземплярах GitLab настроена двухфакторная аутентификация (2FA на уровне поставщика идентификации не помогает). Им также следует отключить возможность обхода двухфакторной аутентификации SAML и запрашивать одобрение администратора для авто-созданных пользователей. GitLab подчеркнул, что эти меры следует рассматривать только как временные, и единственный способ окончательно решить проблему – это установить патч. GitHub заявляет, что его платформа не затронута этой находкой, поскольку более десяти лет назад она перестала использовать библиотеку ruby-saml, выяснил BleepingComputer. "GitHub в настоящее время не использует ruby-saml для аутентификации, но начал оценивать возможность использования этой библиотеки с намерением снова воспользоваться открытым программным обеспечением для аутентификации SAML", - заявили в GitHub.