gofr の BasicAuth 空資格情報の設定不備によりリモートで認証回避が可能に
この脆弱性は、app.EnableBasicAuth 関数が空文字列の引数を処理する際に有効性の検証を欠いていることに起因します。ユーザー名またはパスワードが正しく設定されていない場合でも、システムは空の資格情報レコードを登録して nil を返すため、攻撃者は Base64 エンコードされたコロンを含む Basic Auth ヘッダーを送信するだけで認証を通過できます。これによりアクセス制御を回避して保護されたリソースに直接アクセスでき、機密性と完全性に深刻な漏えいリスクをもたらします。
コンポーネント
gofr は Go 言語で構築された高性能なマイクロサービスフレームワークで、RESTful API の開発フローを簡素化し、標準化されたアプリケーションアーキテクチャを提供することを目指しています。中核コンポーネントには HTTP サーバー、ミドルウェアチェーン、設定管理システムが含まれ、依存性注入とモジュール設計をサポートします。主にスケーラブルなバックエンドサービスを素早く構築するために使われ、組み込みの認証ミドルウェアによってインターフェースへのアクセスの安全性を確保します。
種別
Improper Authentication (CWE-287)
リポジトリ
github.com/gofr-dev/gofr
· Star 20844
対処方法
- 開発者は基本認証のロジックを実装する際に入力パラメータが空でないことを厳格に検証し、ユーザー名またはパスワードが空の場合は直ちに認可フローを中止して明確なエラーを送出してください。あわせて境界条件に対する単体テストのカバレッジを充実させ、不正な設定が暗黙の機能低下ではなく想定どおりのセキュリティ遮断を引き起こすようにすることを推奨します。
