• 漏洞编号：暂无
• 漏洞等级：高危
• 漏洞标签：暂无
• 发布时间：2024-09-18

漏洞描述

GitLab 是一个基于 Web 的 Git 仓库管理工具，它提供了代码仓库托管、代码审查、持续集成和持续部署等功能，支持团队协作开发。2024年9月，Gitlab官方披露 Gitlab SAML 身份认证绕过漏洞，官方评级严重。由于Gitlab 使用 ruby\-saml 和 omniauth\-saml，而 Ruby\-SAML 依赖存在CVE\-2024\-45409 身份认证绕过漏洞，导致攻击者可构造恶意的 SAML，绕过Gtilab的身份认证，从而可以任何人的身份登陆Gitlab。漏洞利用需要攻击者知道 Gitlab SAML配置中的IDP相关信息。

修复建议

1. 升级至安全版本及其以上 2. 开启Gitlab 二次认证。

参考链接

https://about.gitlab.com/releases/2024/09/17/patch-release-gitlab-17-3-3-released/

https://avd.aliyun.com/detail?id=AVD-2024-1748969