CVE-2024-25124

Gofiber Fiber: Niebezpieczna konfiguracja CORS middleware (wildcard + credentials)

CVSS 9.4v3.1pub. 2024-02-21upd. 2025-02-05

Framework Gofiber Fiber w wersjach przed 2.52.1 zawiera podatność w middleware CORS, która umożliwia jednoczesne ustawienie nagłówka Access-Control-Allow-Origin na wartość wildcard (*) oraz Access-Control-Allow-Credentials na true. Taka konfiguracja jest sprzeczna z zalecanymi praktykami bezpieczeństwa i może prowadzić do nieautoryzowanego dostępu do wrażliwych danych użytkowników.

▸ Pokaż oryginał (EN)

Fiber is a web framework written in go. Prior to version 2.52.1, the CORS middleware allows for insecure configurations that could potentially expose the application to multiple CORS-related vulnerabilities. Specifically, it allows setting the Access-Control-Allow-Origin header to a wildcard (`*`) while also having the Access-Control-Allow-Credentials set to true, which goes against recommended security best practices. The impact of this misconfiguration is high as it can lead to unauthorized access to sensitive user data and expose the system to various types of attacks listed in the PortSwigger article linked in the references. Version 2.52.1 contains a patch for this issue. As a workaround, users may manually validate the CORS configurations in their implementation to ensure that they do not allow a wildcard origin when credentials are enabled. The browser fetch api, as well as browsers and utilities that enforce CORS policies, are not affected by this.

🤖 Analiza AI

Jak działa

Middleware CORS w Gofiber Fiber nie blokuje ani nie ostrzega przed niebezpieczną kombinacją ustawień: jednoczesnym użyciem wildcard (*) jako dozwolonego źródła (origin) oraz włączonymi poświadczeniami (credentials). Zgodnie ze specyfikacją CORS, przeglądarka powinna odrzucać takie odpowiedzi, jednak aplikacje i narzędzia nieegzekwujące polityki CORS mogą tę kombinację akceptować. Pozwala to atakującemu na tworzenie złośliwych stron, które wykonują uwierzytelnione żądania cross-origin do podatnej aplikacji i odczytują chronione zasoby.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych danych sesji użytkownika, wykonywać uwierzytelnione żądania w jego imieniu z dowolnej domeny oraz przeprowadzać ataki opisane w kontekście exploitacji błędnych konfiguracji CORS (m.in. kradzież tokenów, danych osobowych i innych zasobów chronionych uwierzytelnieniem).

Mitygacja

Należy zaktualizować Gofiber Fiber do wersji 2.52.1, która zawiera patch dla tego problemu. Jako obejście (workaround) należy ręcznie zweryfikować konfigurację CORS i upewnić się, że wildcard (*) jako dozwolone źródło nie jest używany jednocześnie z włączonymi poświadczeniami (credentials). Zamiast wildcard należy jawnie wskazać zaufane domeny.

Kogo dotyczy

Gofiber Fiber w wersjach przed 2.52.1 z włączonym middleware CORS skonfigurowanym z jednoczesnym użyciem wildcard origin (*) i Access-Control-Allow-Credentials: true

Uwagi

Podatność dotyczy wyłącznie konfiguracji server-side — przeglądarki oraz narzędzia egzekwujące politykę CORS (w tym przeglądarkowe fetch API) są zabezpieczone po stronie klienta, jednak inne klienty HTTP nieegzekwujące tej polityki pozostają narażone.