Fredkschott

لا يتم تسجيل برامج الوسيطة الموروثة مباشرةً في مثيلات محرك المكونات الإضافية التابعة. عندما يتم تسجيل برامج الوسيطة الخاصة بالمصادقة في نطاق أبوي ويتم تسجيل المكونات الإضافية التابعة باستخدام @fastify/middie، يفشل النطاق التابع في وراثة برامج الوسيطة الأبوية. يحدث هذا لأن مسارات البرامج الوسيطة تُعاد إضافة البادئة إليها بشكل غير صحيح عند نشرها إلى نطاقات المكونات الإضافية التابعة؛ فإذا تم تسجيل مكون إضافي تابع ببادئة تتداخل مع مسار برنامج وسيط في نطاق الأصل، يتم تعديل المسار ويفشل في مطابقة الطلبات الواردة. ونتيجة لذلك، يتم تخطي الضوابط الأمنية مثل المصادقة والتفويض والحد من المعدل لجميع المسارات المحددة ضمن نطاقات المكونات الإضافية التابعة والمتداخلة، مما يسمح للطلبات غير المصادق عليها بالوصول إلى تلك المسارات.

يحدث تجاوز في البرمجيات الوسيطة عند تمكين الخيار `ignoreDuplicateSlashes` الذي تم إهماله. تفشل منطقية مطابقة مسار البرمجيات الوسيطة في مراعاة عملية توحيد علامات المائل المكررة التي يقوم بها جهاز التوجيه، مما يسمح للطلبات التي تحتوي على علامات مائل مكررة في البداية (على سبيل المثال، ’//admin/secret‘) بتجاوز عمليات التحقق من المصادقة والتفويض. تؤثر هذه المشكلة بشكل خاص على التطبيقات التي تستخدم نمط التكوين من المستوى الأعلى الذي تم إهماله `fastify({ ignoreDuplicateSlashes: true })` بدلاً من تكوين `routerOptions`.

يؤدي خطأ في معالجة المسارات في الدالة `onRegister()` إلى تكرار مسارات البرامج الوسيطة عند توريثها إلى المكونات الإضافية التابعة. وعندما يتم تسجيل مكون إضافي تابع ببادئة تتطابق مع مسار برنامج وسيط، تُضاف البادئة إلى المسار مرة ثانية، مما يمنعه من مطابقة الطلبات الواردة. ويؤدي ذلك إلى تجاوز كامل لضوابط أمان البرامج الوسيطة في Express، مثل المصادقة والتفويض والحد من معدل الطلبات، لجميع المسارات المحددة ضمن نطاقات المكونات الإضافية التابعة المتأثرة.

توجد مشكلة تتمثل في فشل البرنامج في تطبيع عناوين URL قبل تمريرها إلى البرمجيات الوسيطة Express عند تمكين خيارات التطبيع في موجه Fastify. وهذا يسمح لمهاجم غير مصدق بتجاوز البرمجيات الوسيطة للمصادقة على نطاق المسار عن طريق التلاعب بمسار عنوان URL. وعلى وجه التحديد، يحدث التجاوز عبر الخطوط المائلة المكررة عند تمكين `ignoreDuplicateSlashes`، أو عبر فواصل الفاصلة المنقوطة عند تمكين `useSemicolonDelimiter`. في هذه السيناريوهات، يقوم موجه Fastify بتوحيد عنوان URL ليتطابق مع المسار، لكن عنوان URL الأصلي غير الموحد يتم تمريره إلى الوسيطة Express، مما يؤدي إلى فشل المطابقة وتخطيها.

يسمح عيب منطقي في مسار معالجة الرؤوس في إطار عمل Fastify الخاص بـ Node.js للمهاجمين عن بُعد غير المصادق عليهم بتجاوز الضوابط الأمنية. تحدث هذه المشكلة لأن الدالة `rewriteRequestHeaders()` تعالج رأس `Connection` الخاص بالعميل بعد أن يضيف الوكيل رؤوسه الخاصة. وهذا يسمح للمهاجم بإزالة الرؤوس التي أضافها الوكيل لأغراض التوجيه أو التحكم في الوصول أو الأمان بأثر رجعي، عن طريق إدراجها في قيمة رأس `Connection`. وقد يؤدي ذلك إلى تعديل غير مصرح به للمعلومات المحمية أو تجاوز آليات تحديد هوية الوكيل والتفويض.