CVE-2024-38513

Fiber, Go dilində yazılmış Express-dən ilhamlanmış veb freymvorkdur. 2.52.5 versiyasından əvvəlki versiyalarda mövcud olan zəiflik, GoFiber-in 2 və daha yuxarı versiyalarındakı sessiya middleware problemi ilə bağlıdır. Bu zəiflik istifadəçilərə öz session_id dəyərini təyin etməyə imkan verir ki, bu da həmin açarla sessiyanın yaradılmasına səbəb olur. Əgər vebsayt təhlükəsizlik məqsədləri üçün yalnız sessiyanın mövcudluğuna güvənirsə, bu, icazəsiz giriş və sessiyanın fiksasiyası (session fixation) hücumları daxil olmaqla ciddi təhlükəsizlik risklərinə yol aça bilər. Təsirə məruz qalan versiyalarda GoFiber-in sessiya middleware-indən istifadə edən bütün istifadəçilər bu problemdən təsirlənir. Problem 2.52.5 versiyasında aradan qaldırılıb. İstifadəçilərə bu zəifliyi azaltmaq üçün 2.52.5 və ya daha yuxarı versiyaya keçid etməkləri şiddətlə tövsiyə olunur. Dərhal yeniləmə imkanı olmayan istifadəçilər riski azaltmaq üçün aşağıdakı müvəqqəti həll yollarını tətbiq edə bilərlər: Ya sessiya ID-lərinin istifadəçi tərəfindən təmin edilmədiyini və server tərəfindən təhlükəsiz şəkildə yaradıldığını təmin etmək üçün əlavə validasiya tətbiq edin, ya da sessiya ID-lərini mütəmadi olaraq rotasiya edin və ciddi sessiya vaxtının bitməsi siyasətlərini tətbiq edin.