GitLab ha publicado una actualización crítica (CVSS 9.9) para corregir un fallo grave en la autenticación SAML que permite la suplantación de identidad de cualquier cuenta en instancias autogestionadas.
Validación Inadecuada de Firmas XML
El fallo reside en las librerías ‘ruby-saml’ y ‘OmniAuth-SAML’. Permite que aserciones manipuladas sean validadas como legítimas, evadiendo contraseñas y doble factor de autenticación.
Medidas de Seguridad
Se recomienda actualizar de inmediato a las versiones 17.3.3, 17.2.7 o equivalentes para mitigar cualquier riesgo de toma de control del código fuente corporativo.