Lỗ hổng trong Bypass SAML cho phép kẻ tấn công bỏ qua cơ chế xác thực

Security Assertion Markup Language (SAML) là giao thức đăng nhập một lần phổ biến, giúp người dùng xác thực thông qua Nhà cung cấp danh tính (IdP). Sau khi xác thực thành công, IdP tạo phản hồi SAML chứa các thuộc tính nhận dạng của người dùng, được ký số để đảm bảo tính toàn vẹn.

GitHub Enterprise sử dụng SAML để kiểm soát quyền truy cập của người dùng. Tuy nhiên, lỗ hổng CVE-2025-23369 làm suy yếu quá trình xác thực này, cho phép kẻ tấn công giả mạo hoặc chỉnh sửa phản hồi SAML để vượt qua kiểm tra bảo mật và giành quyền truy cập trái phép.

Lỗ hổng này bắt nguồn từ thư viện libxml2, được GitHub Enterprise sử dụng để phân tích phản hồi SAML. Cụ thể, kẻ tấn công có thể khai thác cách libxml2 xử lý thực thể XML và hàm xmlNodeGetContent, từ đó đánh lừa truy vấn XPath để chọn một phần tử do kẻ tấn công kiểm soát thay vì phần tử gốc.

Kẻ tấn công có thể sử dụng kỹ thuật này để chèn một phần tử xác nhận độc hại vào phản hồi SAML. Khi đó, hệ thống GitHub Enterprise sẽ xác thực phản hồi này mà không nhận ra sự giả mạo, dẫn đến việc bỏ qua cơ chế bảo mật và cho phép truy cập trái phép.

Do GitHub Enterprise được nhiều tổ chức sử dụng để lưu trữ mã nguồn và cộng tác, việc khai thác CVE-2025-23369 có thể gây ra các rủi ro nghiêm trọng như: Truy cập trái phép vào tài khoản GitHub Enterprise; Xâm phạm kho lưu trữ riêng tư, rò rỉ mã nguồn và tài sản trí tuệ; Leo thang đặc quyền trong hệ thống GitHub của tổ chức.

Với mức độ nguy hiểm của lỗ hổng này, các tổ chức sử dụng GitHub Enterprise có kích hoạt xác thực SAML cần nhanh chóng kiểm tra và đánh giá cấu hình xác thực và áp dụng bản vá bảo mật mới nhất từ GitHub.

GitHub đã phát hành bản vá khắc phục lỗ hổng CVE-2025-23369. Người dùng được khuyến cáo nâng cấp hệ thống ngay lập tức để đảm bảo an toàn trước nguy cơ bị tấn công.