Tóm tắt nhanh
- CVE-2025-25293 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng ruby-saml, omniauth saml (omniauth), ruby-saml (onelogin).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.5%, cao hơn 74.7% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 1.18.0, 1.12.4, 2.1.3, 2.2.3 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| ruby-saml RubyGems | ≥ 1.13.0, < 1.18.0< 1.12.4
| 1.18.01.12.4
|
| omniauth saml | ≥ 2.0.0, < 2.1.3≥ 2.2.0, < 2.2.3< 1.10.6
| 2.1.32.2.31.10.6
|
| ruby-saml | ≥ 1.13.0, < 1.18.0< 1.12.4
| 1.18.01.12.4
|
Mô tả
Summary
ruby-saml is susceptible to remote Denial of Service (DoS) with compressed SAML responses.
Ruby-saml uses zlib to decompress SAML responses in case they're compressed. It is possible to bypass the message size check with a compressed assertion since the message size is checked before inflation and not after.
Impact
This issue may lead to remote Denial of Service (DoS).
Mô tả của NVD
ruby-saml provides security assertion markup language (SAML) single sign-on (SSO) for Ruby. Prior to versions 1.12.4 and 1.18.0, ruby-saml is susceptible to remote Denial of Service (DoS) with compressed SAML responses. ruby-saml uses zlib to decompress SAML responses in case they're compressed. It is possible to bypass the message size check with a compressed assertion since the message size is checked before inflation and not after. This issue may lead to remote Denial of Service (DoS). Versions 1.12.4 and 1.18.0 fix the issue.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí