详细内容或原文请订阅后点击阅览
GitLab 的严重漏洞：每个黑客都可以使用无密码登录
已识别的缺陷获得了最高的 CVSS 分数。
来源:安全实验室新闻频道确定的差距已在CVSS量表上获得最大可能的评分。
gitlab发布了更新，以消除其版本社区版（CE）和企业版（EE）中的关键漏洞，这可能会导致身份验证。该问题与Ruby-SAML库（CVE-2024-45409，CVSS得分：10.0）有关，该库允许攻击者在任意用户下输入系统。
gitlab 发布 div> 更新 div> saml div> CVE-2024-45409， div>漏洞的主要原因在于对SAML答案的签名的错误检查。 SAML（安全断言标记语言）是一种协议，它允许您使用单个身份验证系统（SSO）和数据交换以进行身份验证和应用程序和网站之间的授权。
SSO div>专家指出，有权访问已签名的SAML文档的攻击者可以用任何内容伪造SAML响应。这打开了在任意用户下输入系统的能力。
漏洞还会影响Omniauth-SAML库，该库将其发布到2.2.1版，目的是将Ruby-Saml现代化为版本1.17.0。 Patchi会影响GitLab 17.3.3，17.2.7，17.1.8，17.0.8和16.11.10的版本。
作为预防措施，GitLab建议用户为所有帐户打开两个因素身份验证（2FA），并断开通过SAML旁路2FA的可能性。
2fa div>尽管缺乏有关记录的脆弱性案例的信息，但该公司提供了可能的攻击指标，表明攻击者试图使用此脆弱性来访问脆弱的Gitlab系统。
成功尝试操作漏洞的尝试将记录在与SAML事件相关的日志中，而失败的尝试可能会在RubySAML库中导致验证错误。