CVE-2023-41338
Açıklama
Fiber, go diliyle oluşturulmuş Express tabanlı bir web çerçevesidir. gofiber'ın 2.49.2 öncesindeki sürümleri, localhost erişimini uygun şekilde kısıtlamamaktadır. Bu sorun, localhost isteklerini kısıtlamak için `ctx.IsFromLocal` yöntemine güvenen proje kullanıcılarını etkilemektedir. İstismar edildiğinde, yalnızca localhost için amaçlanan kaynaklara yetkisiz erişime izin verebilir. Yabancı bir ana bilgisayardan gelen istekte `X-Forwarded-For: 127.0.0.1` ayarının yapılması, `ctx.IsFromLocal` için true sonucunu döndürecektir. Erişim, etkilenen işlemin kapsamıyla sınırlıdır. Bu sorun, `b8c9ede6` commit'i ile `2.49.2` sürümünde düzeltilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yamalanmış sürüme yükseltme yapmadan bu güvenlik açığını gidermek için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- gofiber fiber2.49.2 ya da sonraki bir sürüm
- github.com/gofiber/fiber/v22.49.2, 2.49.2-0.20230906112033-b8c9ede6efa2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gofiber fiber | v < 2.49.2 | 2.49.2 |
| github.com/gofiber/fiberGo | v ≤ 1.14.6 | — |
| github.com/gofiber/fiber/v2Go | v < 2.49.2, v < 2.49.2-0.20230906112033-b8c9ede6efa2 | 2.49.2, 2.49.2-0.20230906112033-b8c9ede6efa2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.