主要观点总结
本文介绍了GitLab SAML认证绕过漏洞的详细信息，包括漏洞名称、编号、影响量级、评级、CVSS分数等。漏洞允许攻击者通过创建特制的SAML响应来绕过认证，获取对GitLab实例的访问权限。文章还涵盖了影响范围、受影响资产情况、处置建议、参考资料和时间线。
关键观点总结
关键观点1: 漏洞概述
GitLab存在一个SAML认证绕过漏洞（QVD-2024-40180），攻击者可利用此漏洞获取对GitLab实例的非法访问权限。
关键观点2: 影响范围
该漏洞影响GitLab CE/EE的多个版本，具体为17.3.* < 17.3.3、17.2.* < 17.2.7、17.1.* < 17.1.8、17.0.* < 17.0.8以及GitLab CE/EE < 16.11.10。此外，国内和国际上的风险资产数量均很大。
关键观点3: 处置建议
建议用户进行安全更新，包括将依赖项omniauth-saml更新至v2.2.1，将ruby-saml更新至v1.17.0。同时，受影响的用户应升级至最新版本的GitLab。此外，官方补丁下载地址为https://about.gitlab.com/update。作为临时缓解方案，建议为GitLab上的所有用户启用GitLab双因素身份验证并不勾选SAML双因素绕过选项。
文章预览
● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 GitLab SAML 认证绕过漏洞 漏洞编号 QVD-2024-40180 ,CVE-2024-45409 公开时间 2024-09-17 影响量级 百万级 奇安信评级 高危 CVSS 3.1分数 10.0 威胁类型 安全特性绕过 利用可能性 高 POC状态 未公开 在野利用状态 未发现 EXP状态 未公开 技术细节状态 未公开 危害描述： 攻击者可以利用 GitLab 中的 SAML 认证机制中的漏洞绕过认证，通过创建特制的 SAML 响应来非法获取对 GitLab 实例的访问权限。 0 1 漏洞详情 > > > > 影响组件 GitLab 是一款用于仓库管理的开源项目，它提供了一整套工具来帮助开发团队进行项目管理、代码托管、持续集成/持续部署（CI/CD）、监控、以及更多的功能。 > > > > 漏洞描述 近日，奇安信CERT监测到官方修复 GitLab SAML 认证绕过漏洞(QVD-2024-40180) ，由于GitLab对 SAML 响应的不当处理，使
………………………………
