Alerta de seguridad
Nivel de peligrosidad: Crítico
Descripción
Se ha revelado una vulnerabilidad crítica que afecta a las ediciones Community (CE) y Enterprise (EE) de GitLab, derivada de un fallo en la biblioteca Ruby-SAML. La vulnerabilidad identificada como CVE-2024-45409 tiene una puntuación de CVSS: 10.0, lo que refleja su gravedad. Este problema permite a un atacante eludir los mecanismos de autenticación basados en SAML (Security Assertion Markup Language), logrando acceso no autorizado a GitLab mediante la manipulación de las respuestas SAML, esto pone en riesgo la confidencialidad e integridad de los datos de los usuarios en GitLab.
La vulnerabilidad se encuentra en la verificación insuficiente de la firma de las respuestas SAML. Cuando un atacante obtiene acceso a un documento SAML firmado por un proveedor de identidad (IdP), puede falsificar una respuesta o afirmación SAML, accediendo al sistema como cualquier usuario dentro de GitLab. Este problema se basa en la manera en que se manejan las respuestas SAML en la biblioteca Ruby-SAML. El fallo consiste en inyectar un valor de resumen alterado (DigestValue) en el elemento StatusDetail del mensaje SAML, engañando al sistema para que utilice este valor en lugar del presente en el bloque SignedInfo, lo que permite la manipulación de la afirmación SAML sin invalidar la firma digital original.
Recursos afectados
- Menores a 16.11.10
- 17.0.0 - 17.0.8
- 17.1.0 - 17.1.8
- 17.2.0 - 17.2.7
- 17.3.0 - 17.3.3
Solución/Mitigación
GitLab ha lanzado parches que actualizan las dependencias afectadas, específicamente omniauth-saml a la versión 2.2.1 y ruby-saml a la versión 1.17.0. Los usuarios de instalaciones autoadministradas deben aplicar estos parches inmediatamente.
Actualizar GitLab a las versiones parcheadas:
- > 16.11.10+
- > 17.0.8+
- > 17.1.8+
- > 17.2.7+
- > 17.3.3+
Recomendaciones
- Actualización Inmediata: Es fundamental actualizar las versiones afectadas de GitLab a las versiones parcheadas indicadas para evitar que la vulnerabilidad CVE-2024-45409 sea explotada.
- Implementación de Autenticación de Dos Factores (2FA): Se recomienda habilitar la autenticación de dos factores en todas las cuentas de usuario para añadir una capa adicional de seguridad, sobre todo cuando se utilicen autenticaciones SAML.
- Monitoreo Activo de Actividad SAML: Es importante revisar constantemente los registros de actividad en busca de cualquier intento de explotación relacionado con SAML o validaciones fallidas de la biblioteca Ruby-SAML.
- Evaluación Continua de las Bibliotecas Utilizadas: Las organizaciones que dependan de bibliotecas de autenticación, como Ruby-SAML o OmniAuth-SAML, deben realizar auditorías periódicas de seguridad y asegurarse de que siempre estén actualizadas a sus últimas versiones seguras.