Một lỗ hổng nghiêm trọng vừa được khắc phục trên nền tảng theo dõi và khắc phục các lỗi (exception) trong mã nguồn của ứng dụng theo thời gian thực Sentry có thể cho phép kẻ tấn công chiếm đoạt tài khoản người dùng.
Lỗ hổng này, được theo dõi với mã CVE-2025-22146 (CVSS 9.1), xuất phát từ cách triển khai tính năng đăng nhập một lần trên Sentry. Kẻ tấn công có thể khai thác lỗ hổng này để giả mạo bất kỳ người dùng nào trên cùng một hệ thống Sentry được chia sẻ.
Theo thông báo bảo mật, lỗ hổng liên quan đến xác thực không chính xác trong quy trình SAML SSO. Kẻ tấn công, bằng cách sử dụng một máy chủ SAML Identity Provider độc hại và nhắm mục tiêu vào tổ chức trên cùng một instance Sentry, có thể chiếm quyền tài khoản của bất kỳ người dùng nào trong tổ chức đó, miễn là biết địa chỉ email của nạn nhân.
Sentry đã khắc phục lỗ hổng này trong phiên bản 25.1.0. Người dùng Sentry cần nâng cấp lên phiên bản này hoặc các phiên bản mới hơn để giảm thiểu rủi ro. Với người dùng dịch vụ Sentry trên nền tảng SaaS, lỗi đã được khắc phục từ ngày 14 tháng 1 năm 2025.
SAML SSO, dù được thiết kế để đơn giản hóa truy cập, tuy nhiên nó vẫn có thể gây rủi ro bảo mật nếu không được triển khai đúng cách. Các tổ chức sử dụng SAML SSO cần thường xuyên kiểm tra và áp dụng các biện pháp bảo mật tốt nhất để tránh rủi ro.
