URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 134854
[ Назад ]

Исходное сообщение
"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в GitLab"

Отправлено opennews , 19-Сен-24 22:56 
Опубликованы корректирующие обновления платформы для организации совместной разработки GitLab - 17.3.3, 17.2.6 и 17.1.8, в которых устранена критическая уязвимость, позволяющая обойти аутентификацию на базе SAML (Security Assertion Markup Language). Проблема вызвана уязвимостью (CVE-2024-45409) в Ruby-библиотеках ruby-saml и omniauth-saml, реализующих клиентскую часть SAML-авторизации. Уязвимости присвоен максимальный уровень опасности 10 из 10. Проблема устранена в обновлениях пакетов ruby-saml (1.17.0 и 1.12.3) и omniauth-saml (2.2.0)...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=61893


Содержание

Сообщения в этом обсуждении
"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено penetrator , 20-Сен-24 00:00 
уже вышел 17.4.0

по умолчанию SAML выключен


"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено Аноним , 20-Сен-24 02:15 
tl;dr

> Ignore Postel. When it comes to processing cryptographic signatures, loosey-goosey isn’t “liberal”, it’s libertine.


"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено Аноним , 20-Сен-24 06:50 
Самая большая ошибка гитлаба состоит в том, что у них есть руби в стеке.

"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено Аноним , 20-Сен-24 13:47 
На Руби вообще много чего полностью или частично написано. GitHub, AirBnb, Twitter, Kickstarter, etc. А уязвимости есть в библиотеках на любых языках.

"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено Аноним , 20-Сен-24 14:06 
в твиттере руби давно нет.

"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено Аноним , 23-Сен-24 11:11 
Есть ли какое-то доказательство этому? Пруфлинк, например.

"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено Бывалый Смузихлёб , 21-Сен-24 12:24 
> AirBnb

Оно и на Реакт-Натив писало. Но с заморочками уровня джавы вроде всё размазывать по отдельным файлам и каталогам разной вложенности. В итоге, со своими "рекомендациями" по типизации и ограничениям настолько свой проект перегрузили, что он стал совершенно неподдерживаемым даже исходной командой и они тупо свалили на несколько различных проектов и разбились на несколько команд.
Хотя их убогий проект не подразумевал большой производительности( как игра, где было бы реально вспомнить про игровые движки ) или чего-то ещё.
Там совершенно примитивнейшая бизнес-работа( аля банальные "бинес-приложения" с формами и кнопками ), которое с их "ценными советами"(тм)
оказалось перегружено до полной неподдерживаемости

И теперь иной анон подобную мусорную контору показывает в качестве примера ?)


"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено Аноним , 23-Сен-24 11:22 
> убогий проект

Вообще-то AirBnb - проект успешный и многомилионный. Твои попытки его залажать довольно смешны. Ты может когда-нибудь создал проект такого масштаба? Сомневаюсь что-то.


"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено Бывалый Смузихлёб , 24-Сен-24 14:19 
> Вообще-то AirBnb - проект успешный и многомилионный. Твои попытки его залажать довольно
> смешны. Ты может когда-нибудь создал проект такого масштаба? Сомневаюсь что-то.

Он условно-успешный, но не касательно ИТ - у него по сути иная ниша, связанная с арендой. Но с подобным успехом оно бы и через аналог авито или  яндекс-недвижимость работало бы. Регулярные отсылки у него к конкретным технологиям тупо не имеют смысла.

Условно и прочее - т.к, учитывая его "славный" кидок пользователей РФ( а ведь эта свинья даже предоплаты за жильё не захотела возвращать как минимум абсолютному большинству ) - ничего хорошего про это упоминать невозможно. Как и про любого иного серийного вора и жулика, кинувшего простых людей на десятки-сотни кило рублей. Запланировал отпуск, оплатил жильё. "Извините, но идите в ж*, мы сливаемся, ни копейки вам не вернём, хотя ничего за них не сделали но и арендодателю не передали, т.е тупо положили себе в карман"


"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено Аноним , 20-Сен-24 09:24 
"Гитлаб шикарная замена гитхаба! А главное свободная!" говорили они)))

Предыдущая новость про уязвимости была 12.09.2024
Там наверное такой классный код, что можно каждую неделю что-то находить :)


"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено Аноним , 20-Сен-24 22:03 
Для любителей Microsuxx'а вон там кто-то запилил новую версию microsuxx captcha'и, докажи что ты не робот, отпаравь смску^W^W нажми Win+R :)) https://www.opennet.dev/openforum/vsluhforumID3/134858.html

При том видимо на гитхабе и винде остались совсем уж овощи, раз ТАКОЕ еще и работает.


"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено Аноним , 20-Сен-24 11:07 
Так уязвимость не в GitLab а библиотеке, которую они использую. В новом выпуске положили свежую либу... К коду GitLab это отношении не имеет.

"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено Аноним , 20-Сен-24 11:16 
Не виноватые мы уязвимости сами пришли. А то что мы за деньжищи продаём дырявый продукт так это мы не виноваты...а вы виноваты что им пользуетесь...

"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено Аниним , 21-Сен-24 09:52 
Ну вот вам, нормальная уязвимость здорового человека: поправил запрос и залогинился в любого пользователя. Сохраню в коллекцию чтобы потом знатокам всяким совать. Сасибо опенет!

"Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в ..."
Отправлено Аноним , 21-Сен-24 12:25 
Обновления вышли и для 17.0.8, 16.11.10. Не что, почему в новости об этом не указано