La trappola nascosta di Ruby SAML: come un silenzioso difetto XML ha aperto la porta a violazioni aziendali
Sottotitolo: Una vulnerabilità sottile ma devastante in una popolare libreria di autenticazione espone le imprese ad accessi non autorizzati e furtivi.
Tutto è iniziato come un’anomalia silenziosa-una differenza nel modo in cui due parser XML interpretavano gli stessi dati. Ma per migliaia di organizzazioni, questa sottigliezza è diventata il perno di una grave violazione della sicurezza. La libreria Ruby SAML, pilastro dell’infrastruttura di autenticazione di innumerevoli aziende, celava un difetto così insidioso che gli aggressori potevano attraversare indisturbati le porte digitali, eludendo anche le difese di autenticazione più robuste.
Anatomia del difetto
Per anni, Ruby SAML è stato la spina dorsale delle soluzioni di single sign-on (SSO), affidato dalle organizzazioni per gestire le identità degli utenti e imporre un’autenticazione rigorosa. Ma la recente scoperta della CVE-2025-25293 ha rivelato una pericolosa debolezza-una che dipende da come la libreria interpreta l’XML, il linguaggio utilizzato per comunicare i dati di autenticazione.
Il cuore della vulnerabilità risiede in due librerie di parsing XML: ReXML e Nokogiri. Sebbene entrambe siano ampiamente utilizzate nell’ecosistema Ruby, non sempre concordano su come interpretare lo stesso documento XML. Gli aggressori, sempre attenti a queste sfumature, hanno imparato a sfruttare questa discrepanza. Creando risposte SAML malevole che manipolano queste differenze tra parser-una tattica nota come “signature wrapping attack”-possono ingannare il sistema di autenticazione facendogli credere che una risposta falsificata sia legittima.
Non si tratta solo di un rischio teorico. Con questo exploit, un attaccante determinato può aggirare i controlli di validazione della firma, impersonare utenti, aumentare i propri privilegi e persino compromettere l’autenticazione a più fattori-tutto senza credenziali legittime. La vulnerabilità è particolarmente allarmante perché deriva da una correzione incompleta di un difetto precedente (CVE-2025-25292), a dimostrazione di come risolvere solo parzialmente un problema possa lasciare porte spalancate ai cybercriminali.
Rischio diffuso, rimedio urgente
La superficie d’attacco è vasta. Qualsiasi organizzazione che utilizzi versioni di Ruby SAML precedenti alla 1.18.0 è a rischio, incluse le aziende che si affidano a SAML per applicazioni critiche, servizi cloud e federazione delle identità. Gli sviluppatori del toolkit hanno risposto con la versione 1.18.0, che risolve completamente il problema delle differenze tra parser e chiude la falla di bypass dell’autenticazione.
Gli esperti di sicurezza raccomandano di applicare la patch immediatamente. Fino a quando le organizzazioni non aggiorneranno, rimarranno vulnerabili a violazioni furtive e di grande impatto-potenzialmente consegnando agli aggressori le chiavi dei loro regni digitali.
