漏洞描述
CVE-2024-45409 漏洞是由 Ruby SAML 庫引起的。Ruby SAML 庫是用於實現 SAML 授權的客戶端。12.2 及以下的所有版本、1.13.0 到 1.16.0 之間的 Ruby-SAML 版本都受此影響。這些版本不能夠正確驗證 SAML 響應的簽名。因此，具有訪問任何身份提供者（IdP）簽署的 SAML 文件的未經身份驗證的攻擊者可以偽造包含任意內容的 SAML 響應/斷言。這將允許攻擊者以任意使用者身份登入到易受攻擊的系統中。此漏洞在 1.17.0 和 1.12.3 版本中已修復。
| 標題 | 嚴重性 |
|---|---|
| SAML 認證繞過 | 嚴重 |
對於極狐GitLab 的影響
由於極狐GitLab 是基於 Ruby 的，因此極狐GitLab 受此漏洞的影響。在漏洞被披露以後，極狐GitLab 專業技術團隊很快就釋出了安全版本極狐GitLab 17.3.3, 17.2.7, 17.1.8, 17.0.8, 16.11.10。官方強烈建議所有的私有化部署使用者應立即升級到上述推薦的某一個版本。對於極狐GitLab SaaS（JihuLab.com）來講，專業的技術團隊已經進行了升級。
升級指南
對於GitLab/極狐GitLab 私有化部署版的使用者，透過將原有的GitLab CE/EE/JH升級至極狐GitLab
17.3.3-jh、17.2.7-jh、17.1.8-jh、17.0.8-jh、16.11.10-jh 版本即可修復該漏洞。詳請可以檢視極狐GitLab 官網
Omnibus 安裝
使用 Omnibus 安裝部署的例項，升級詳情可以檢視極狐GitLab 安裝包安裝升級文件。
Docker 安裝
使用 Docker 安裝部署的例項，可使用如下三個容器映象將產品升級到上述三個版本：
-
registry.gitlab.cn/omnibus/gitlab-jh:17.3.3-jh.0
-
registry.gitlab.cn/omnibus/gitlab-jh:17.2.7-jh.0
-
registry.gitlab.cn/omnibus/gitlab-jh:17.1.8-jh.0
-
registry.gitlab.cn/omnibus/gitlab-jh:17.0.8-jh.0
-
registry.gitlab.cn/omnibus/gitlab-jh:16.11.10-jh.0
升級詳情可以檢視極狐GitLab Docker 安裝升級文件。
Helm Chart 安裝
使用雲原生安裝的例項，可將使用的 Helm Chart 升級到 8.3.3(對應 17.3.3-jh）、8.2.7（對應 17.2.7-jh）、8.1.8（對應 17.1.8-jh）、8.0.8（對應 17.0.8）以及 7.11.10（對應 16.11.10）來修復該漏洞。升級詳情可以檢視 Helm Chart 安裝升級文件。
| JH 版本 | 17.3.3 | 17.2.7 | 17.1.8 | 17.0.8 | 16.11.10 |
|---|---|---|---|---|---|
| Chart 版本 | 8.3.3 | 8.2.7 | 8.1.8 | 8.0.8 | 7.11.10 |
對於SaaS使用者（jihulab.com），無需進行任何操作，我們已經升級SaaS以修復該漏洞。
極狐GitLab技術支援
極狐GitLab 技術支援團隊對付費客戶GitLab（基礎版/專業版）提供全面的技術支援，您可以透過https://support.gitlab.cn/#/portal/myticket將問題提交。
如果您是免費使用者，在升級過程中遇到任何問題，可以在極狐GitLab 官網找到聯絡方式聯絡官方技術專家。