CVE-2024-25124
Açıklama
Fiber, go ile yazılmış bir web framework'üdür. Versiyon 2.52.1 öncesinde, CORS ara katman yazılımı, uygulamayı potansiyel olarak birden fazla CORS ile ilgili güvenlik açığına maruz bırakabilecek güvenli olmayan yapılandırmalara izin vermektedir. Spesifik olarak, önerilen güvenlik en iyi uygulamalarına aykırı şekilde, Access-Control-Allow-Credentials değeri true olarak ayarlanmışken Access-Control-Allow-Origin başlığının joker karakter (`*`) olarak ayarlanmasına izin verir. Bu hatalı yapılandırmanın etkisi yüksektir; çünkü hassas kullanıcı verilerine yetkisiz erişime yol açabilir ve sistemi referanslarda bağlantısı verilen PortSwigger makalesinde listelenen çeşitli saldırı türlerine maruz bırakabilir. Versiyon 2.52.1 bu sorun için bir yama içermektedir. Geçici bir çözüm olarak kullanıcılar, kimlik bilgileri etkin olduğunda joker karakter kökenine izin verilmediğinden emin olmak için uygulamalarındaki CORS yapılandırmalarını manuel olarak doğrulayabilirler. Tarayıcı fetch API'si ile CORS politikalarını uygulayan tarayıcılar ve araçlar bundan etkilenmemektedir.
Nasıl düzeltilir
- gofiber fiber2.52.1 ya da sonraki bir sürüm
- github.com/gofiber/fiber/v22.52.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gofiber fiber | v < 2.52.1 | 2.52.1 |
| github.com/gofiber/fiber/v2Go | v < 2.52.1 | 2.52.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.