Sentry: Autenticación incorrecta en el proceso de SSO SAML permite el vínculo de identidad de usuario

La vulnerabilidad de RCE en Sentry permite a un atacante, con conocimiento de la dirección de correo electrónico de la víctima, tomar el control completo de sus cuentas de usuario. Esto se logra mediante la manipulación del proceso de autenticación SAML. Un proveedor de identidad SAML malicioso puede inyectar código malicioso que se ejecuta con los privilegios del usuario afectado una vez que se autentica en Sentry. El impacto es significativo, ya que un atacante podría acceder a datos confidenciales, modificar la configuración de la organización, o incluso comprometer la infraestructura subyacente si la cuenta comprometida tiene permisos elevados. La necesidad de conocer la dirección de correo electrónico de la víctima introduce una barrera, pero no impide la explotación en entornos donde esta información es fácilmente accesible.

Organizations using Sentry for error tracking and performance monitoring, particularly those with multiple organizations configured and relying on SAML SSO for authentication, are at risk. Self-hosted Sentry deployments are especially vulnerable as they require manual upgrades. Shared hosting environments utilizing Sentry with multiple organizations should also be carefully assessed.

• python / server:

# Check Sentry version
import subprocess
result = subprocess.run(['sentry', '--version'], capture_output=True, text=True)
version = result.stdout.strip()
if not version.startswith('26.2.0'):
    print('Sentry version is vulnerable!')

• generic web:

# Check for SAML configuration files (example path, adjust as needed)
find /etc/sentry/ -name 'saml.conf' -print

1. 2026-02-21Disclosure

   disclosure

1. Reservado2026-02-18
2. Publicada2026-02-21
3. Modificada2026-02-24
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar Sentry a la versión 26.2.0 o superior, donde se ha solucionado el problema. Si la actualización inmediata no es posible, se recomienda deshabilitar temporalmente la autenticación SAML o restringir el acceso a la autenticación SAML solo a proveedores de identidad confiables. Además, se debe revisar la configuración de Sentry para asegurar que SENTRYSINGLEORGANIZATION esté configurado como True si solo se utiliza una organización. Implementar reglas en un Web Application Firewall (WAF) para filtrar solicitudes SAML maliciosas también puede proporcionar una capa adicional de protección. Después de la actualización, confirme que la autenticación SAML funciona correctamente y que no se han introducido nuevos problemas.