Команда GitLab випустила термінове оновлення безпеки для усунення дев’яти критичних вразливостей у своїх продуктах Community Edition (CE) та Enterprise Edition (EE). Особливу увагу привертають дві критичні вразливості в бібліотеці ruby-saml, що використовується для реалізації механізму Single Sign-On (SSO).
Аналіз критичних вразливостей SAML
Виявлені вразливості (CVE-2025-25291 та CVE-2025-25292) пов’язані з механізмом SAML SSO, який забезпечує автентифікацію на рівні екземпляра системи або групи. Технічний аналіз показав наявність розбіжностей у методах обробки XML між компонентами REXML та Nokogiri. Ця особливість відкриває можливість для проведення атак типу Signature Wrapping, що потенційно дозволяє зловмисникам обходити систему автентифікації та отримувати несанкціонований доступ до облікових записів користувачів.
Вразливі версії та оновлення безпеки
Проблеми безпеки присутні в усіх версіях GitLab CE/EE до випуску відповідних патчів. Безпечними вважаються наступні версії:
– GitLab CE/EE 17.7.7
– GitLab CE/EE 17.8.5
– GitLab CE/EE 17.9.2
– ruby-saml 1.12.4 та 1.18.0
Рекомендації щодо захисту систем
Адміністраторам систем GitLab наполегливо рекомендується терміново оновити програмне забезпечення до захищених версій. Хоча платформа GitLab.com та клієнти GitLab Dedicated вже отримали необхідні оновлення безпеки автоматично, користувачам self-managed інсталяцій необхідно провести оновлення вручну. Додатково рекомендується виконати аудит користувацької активності для виявлення можливих ознак компрометації системи.
Додаткові аспекти безпеки
У рамках цього ж оновлення усунуто вразливість CVE-2025-27407, пов’язану з можливістю віддаленого виконання довільного коду через функцію Direct Transfer. Хоча ця функція типово деактивована, важливо перевірити конфігурацію системи на предмет її можливої активації.
Варто відзначити, що вразливості були виявлені фахівцями GitHub під час проактивного дослідження безпеки бібліотеки ruby-saml. Цей випадок підкреслює критичну важливість регулярного аудиту безпеки використовуваних компонентів та своєчасного оновлення програмного забезпечення для забезпечення належного рівня захисту інформаційних систем.
