Gofiber 存在CORS凭证泄露漏洞 (CVE-2024-25124)

漏洞类型 过度许可的跨域白名单 发现时间 2024-02-22 漏洞等级 严重
MPS编号 MPS-qoe4-atu2 CVE编号 CVE-2024-25124 漏洞影响广度 广

漏洞危害

OSCS 描述
Gofiber 是一个基于Go语言的轻量级web框架。
受影响版本中,Web应用中的CORS中间件允许不安全的配置(例如:同时设置Access-Control-Allow-Origin 通配符`*`并且Access-Control-Allow-Credentials为true),攻击者可以利用这种不安全的配置,通过构造特定的跨源请求窃取其他用户的用户凭证(如cookies、HTTP认证信息等)。
浏览器提供的 fetch API 以及强制执行 CORS 策略的浏览器和实用程序不受此漏洞影响。
参考链接:https://www.oscs1024.com/hd/MPS-qoe4-atu2

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
github.com/gofiber/fiber/v2 (-∞, 2.52.1) 升级 将组件 github.com/gofiber/fiber/v2 升级至 2.52.1 及以上版本
github.com/gofiber/fiber/v2/middleware/cors (-∞, 2.52.1) 升级 将组件 github.com/gofiber/fiber/v2/middleware/cors 升级至 2.52.1 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-qoe4-atu2

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-qoe4-atu2

https://nvd.nist.gov/vuln/detail/CVE-2024-25124

https://github.com/gofiber/fiber/commit/f0cd3b44b086544a37886232d0530601f2406c23

https://github.com/gofiber/fiber/security/advisories/GHSA-fmg4-x8pw-hjhg

(0)
上一篇 2024年2月22日 下午12:00
下一篇 2024年2月23日 上午12:00

相关推荐

  • MLflow<2.9.2 存在任意文件写入漏洞 (CVE-2023-6753)

    漏洞类型 路径遍历 发现时间 2023-12-14 漏洞等级 严重 MPS编号 MPS-hbve-if4y CVE编号 CVE-2023-6753 漏洞影响广度 小 漏洞危害 OSCS 描述 MLflow 是用于机器学习全生命周期管理的开源工具。 2.9.2之前版本中由于使用 posixpath.basename 过滤文件路径,未正确过滤 Windows 路…

    2023年12月18日
    0
  • curl 8.5.0 OCSP 验证绕过 (CVE-2024-0853)

    漏洞类型 证书撤销验证不恰当 发现时间 2024-01-31 漏洞等级 低危 MPS编号 MPS-phcs-y3ga CVE编号 CVE-2024-0853 漏洞影响广度 广 漏洞危害 OSCS 描述 curl 是用于在各种网络协议之间传输数据的命令行工具。 该漏洞导致即使在线证书状态协议(OCSP stapling)测试失败,curl也会在其缓存中保留SS…

    2024年1月31日
    0
  • Dremio 存在路径遍历漏洞 (CVE-2024-23768)

    漏洞类型 路径遍历 发现时间 2024-01-22 漏洞等级 高危 MPS编号 MPS-joly-0sb2 CVE编号 CVE-2024-23768 漏洞影响广度 一般 漏洞危害 OSCS 描述 Dremio 是一种数据湖查询和分析引擎,它可以直接连接到各种数据源,包括Hadoop、NoSQL数据库和关系数据库。 受影响版本中,经过身份眼中的攻击者可绕过角色…

    2024年1月22日
    0
  • angular-editor 存储型XSS

    漏洞类型 XSS 发现时间 2023/7/5 漏洞等级 中危 MPS编号 MPS-vg0h-iq7r CVE编号 – 漏洞影响广度 小 漏洞危害 OSCS 描述 angular-editor 是一款适用于 Angular 6-14+ 的简单原生 WYSIWYG/Rich Text 编辑器。在受影响版本中,攻击者通过点击「Insert URL Li…

    2023年8月30日
    0
  • Apache Struts2 存在远程代码执行漏洞 (CVE-2023-50164)

    漏洞类型 对外部实体的文件或目录可访问 发现时间 2023-12-07 漏洞等级 严重 MPS编号 MPS-5qa9-hjgt CVE编号 CVE-2023-50164 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Struts是美国阿帕奇(Apache)基金会的开源Web项目,是一套用于创建企业级Java Web应用的开源MVC框架。 在受影响…

    2023年12月8日
    0