GitLab SAML身份验证绕过漏洞安全风险通告

GitLab是一个用于仓库管理系统的开源项目，其使用Git作为代码管理工具，可以通过Web界面访问公开或私人项目。SAML（Security Assertion Markup Language，安全断言标记语言）是一种基于XML的标准，用于在不同的安全域之间交换认证和授权数据，被广泛应用于单点登录（SSO）解决方案。

鉴于漏洞危害较大，嘉诚安全提醒相关用户尽快更新至安全版本，避免引发漏洞相关的网络安全事件。

GitLab CE/EE 17.3.x < 17.3.3

GitLab CE/EE 17.2.x < 17.2.7

GitLab CE/EE 17.1.x < 17.1.8

GitLab CE/EE 17.0.x < 17.0.8

GitLab CE/EE 16.11.x < 16.11.10

OmniAuth-SAML和Ruby-SAML依赖项：

omniauth-saml <= 2.1.0

ruby-saml <= 1.12.2

1.13.0 <= ruby-saml <= 1.16.0

GitLab CE/EE 17.3.x >= 17.3.3

GitLab CE/EE 17.2.x >= 17.2.7

GitLab CE/EE 17.1.x >= 17.1.8

GitLab CE/EE 17.0.x >= 17.0.8

GitLab CE/EE 16.11.x >= 16.11.10

或将OmniAuth-SAML和Ruby-SAML依赖项升级到以下修复版本：

omniauth-saml：升级到2.2.1、2.1.2、1.10.5或更高版本

ruby-saml：升级到1.17.0、1.12.3或更高版本

下载链接：

https://about.gitlab.com/

参考链接：

https://about.gitlab.com/releases/2024/09/17/patch-release-gitlab-17-3-3-released/