КиберосноваSGRC
BDU:2024-07261
Высокий

BDU:2024-07261: Уязвимость реализации модуля единого входа в приложения SAML библиотеки Ruby SAML и программной платформы на базе git для совместной работы над кодом GitLab, позволяющая повысить свои привилегии

CVSS v310.0
CVSS v29.4
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2024-07261

Описание

Уязвимость реализации модуля единого входа в приложения SAML библиотеки Ruby SAML и программной платформы на базе git для совместной работы над кодом GitLab связана с ошибками проверки криптографической подписи. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии путём отправки специально сформированного SAML-ответа

Что делать с BDU:2024-07261

Высокая уязвимость (CVSS 10.0) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
10.0Критический
Пересчитать →
v2
9.4
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:NAV:N/AC:L/Au:N/C:C/I:C/A:N

CWE — тип уязвимости

CWE-347

CVE — международный идентификатор

CVE-2024-45409

Тактики и техники

Подмена при взаимодействии

Уязвимое ПО (10)

ВендорНазваниеВерсияПлатформа
Ruby TeamRuby SAMLдо 1.17.0Не указана
Ruby TeamRuby SAMLдо 1.12.3Не указана
Ruby TeamOmniauth SAMLот 2.1.0 до 2.2.1Не указана
Ruby TeamOmniauth SAMLот 2.1.0 до 2.1.2Не указана
Ruby TeamOmniauth SAMLот 1.10.3 до 1.10.5Не указана
GitLab Inc.Gitlabдо 17.3.3Не указана
GitLab Inc.Gitlabдо 17.2.7Не указана
GitLab Inc.Gitlabдо 17.1.8Не указана
GitLab Inc.Gitlabдо 17.0.8Не указана
GitLab Inc.Gitlabдо 16.11.10Не указана

Рекомендации по устранению

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - использование двухфакторной аутентификации для всех учётных записей GitLab; - отключение опции обхода двухфакторной аутентификации SAML в GitLab; - использование SIEM-систем для отслеживания событий журнала, связанных с регистрацией SAML; - использование VPN для организации удалённого доступа к уязвимому программному обеспечению. Использование рекомендаций: https://github.com/SAML-Toolkits/ruby-saml/commit/1ec5392bc506fe43a02dbb66b68741051c5ffeae https://github.com/SAML-Toolkits/ruby-saml/commit/4865d030cae9705ee5cdb12415c654c634093ae7 https://github.com/SAML-Toolkits/ruby-saml/security/advisories/GHSA-jw9c-mfg7-9rx2 https://github.com/omniauth/omniauth-saml/security/advisories/GHSA-cvp8-5r8g-fhvq https://about.gitlab.com/releases/2024/09/17/patch-release-gitlab-17-3-3-released/

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 10.0

Уточните SLA под вашу среду

Базовый балл 10.0 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации10.7%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2024-09-10

Опубликована

2024-09-19

Обновлена

2024-10-09

Эксплойт

Существует в открытом доступе

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2024-45409 MITRE: CWE-347 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2026-08986
Высокий
8.6

Уязвимость инструмента Duo Workflows программной платформы на базе git для совместной работы над кодом GitLab EE/ CE, по

BDU:2026-08987
Средний
5.3

Уязвимость программной платформы на базе git для совместной работы над кодом GitLab EE/ CE, связанная с недостатками про

BDU:2026-08984
Высокий
8.0

Уязвимость программной платформы на базе git для совместной работы над кодом GitLab EE/ CE, связанная с непринятием мер

BDU:2026-08985
Средний
4.3

Уязвимость программной платформы на базе git для совместной работы над кодом GitLab EE/ CE, связанная с неверным управле

BDU:2026-09070
Низкий
3.1

Уязвимость программной платформы на базе git для совместной работы над кодом GitLab EE/ CE, связанная с зависимостью кри

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0