Go言語ベースのウェブフレームワーク「Fiber」に深刻な脆弱性

Go言語ベースのウェブフレームワーク「Fiber」に深刻な脆弱性が明らかとなった。アップデートにて修正されている。

セッションミドルウェアにおいて、ユーザーが独自の「セッションid」を指定し、セッションを作成できる脆弱性「CVE-2024-38513」が明らかとなったもの。ウェブサイトのアクセス制御を「セッションID」に依存している場合、大きな影響を受けるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。

同脆弱性は、現地時間6月30日にリリースされた「同2.52.5」にて修正されており、同バージョン以降へ更新するよう呼びかけられている。

またすぐにアップデートできない場合は、「セッションID」の検証や有効期限を設定してローテーションを行うなど、回避策の実施が呼びかけられている。

（Security NEXT - 2024/07/09 ）ツイート