Descoberta e escopo / O que mudou agora
Foi divulgado um defeito crítico na biblioteca ruby-saml (RubyGems), rastreado como CVE-2025-66567, com pontuação CVSS 10.0. O problema atinge todas as versões até 1.12.4 e permite a bypass completo de mecanismos de autenticação SAML usados em SSO.
Vetor e exploração / Mitigações
A raiz da vulnerabilidade é uma discrepância de parsing entre diferentes analisadores XML (ReXML e Nokogiri). Essa diferença possibilita um ataque de Signature Wrapping: assinaturas XML válidas podem ser manipuladas de forma a fazer com que um parser aceite respostas SAML maliciosas enquanto outro interpreta o documento de maneira que permita a alteração de claims de autenticação.
O ataque pode ser realizado via rede, sem interação do usuário e sem privilégios especiais, tornando-o particularmente perigoso para aplicações que expõem interfaces SAML a usuários remotos. O relatório público recomenda atualização imediata para a versão 1.18.0 ou posterior, que corrige a validação e o comportamento dos parsers.
Impacto e alcance / Setores afetados
SAML é amplamente adotado para single sign-on em aplicações empresariais; portanto, milhares de organizações que dependem de implementações baseadas em ruby-saml podem ficar expostas. Um exploit bem-sucedido permite acesso sem credenciais válidas, potencialmente comprometendo aplicações críticas, dados de negócio e fluxos de autorização.
Limites das informações / O que falta saber
O advisory foi submetido via GitHub Advisory e descreve a técnica e a correção, mas não inclui uma lista extensa de softwares finais impactados que consomem ruby-saml em seus stacks — cabe às equipes de desenvolvimento e manutenção identificar dependências transitivas (gems) e atualizar o pacote nas aplicações afetadas.
Repercussão / Próximos passos
Equipes de desenvolvimento e de segurança devem executar inventário de dependências para localizar usos da gem ruby-saml e priorizar a atualização para 1.18.0+. Testes de regressão e validação de SSO são recomendados após a atualização. Para ambientes em que a atualização imediata não seja possível, mitigações temporárias deverão ser aplicadas via configurações de parser XML ou validação extra das assertions antes de confiar nos claims.
O relatório original e o advisory no GitHub devem ser consultados para instruções de integração e detalhes de correção. As equipes de manutenção de identidade e acesso (IAM) precisam tratar esse CVE como alta prioridade devido ao potencial de autenticação forjada sem interação do usuário.