Fredkschott

O middleware herdado não é registrado diretamente em instâncias do mecanismo de plugins filhos. Quando um middleware de autenticação é registrado em um escopo pai e plugins filhos são registrados com @fastify/middie, o escopo filho não herda o middleware do pai. Isso ocorre porque os caminhos do middleware são prefixados incorretamente ao serem propagados para escopos de plugins filhos; se um plugin filho for registrado com um prefixo que se sobrepõe ao caminho do middleware do escopo pai, o caminho é modificado e não corresponde às solicitações recebidas. Consequentemente, controles de segurança como autenticação, autorização e limitação de taxa são ignorados para todas as rotas definidas nos escopos de plugins filhos e netos afetados, permitindo que solicitações não autenticadas alcancem essas rotas.

Existe um bypass de middleware quando a opção obsoleta `ignoreDuplicateSlashes` está habilitada. A lógica de correspondência de caminho do middleware não considera a normalização de barras duplicadas realizada pelo roteador, permitindo que requisições com barras iniciais duplicadas (ex: '//admin/secret') ignorem verificações de autenticação e autorização. Este problema afeta especificamente aplicações que utilizam o estilo de configuração de nível superior obsoleto `fastify({ ignoreDuplicateSlashes: true })` em vez da configuração `routerOptions`.

Um erro de manipulação de caminho na função `onRegister()` faz com que os caminhos do middleware sejam duplicados quando herdados por plugins filhos. Quando um plugin filho é registrado com um prefixo que corresponde a um caminho de middleware, o caminho é prefixado uma segunda vez, impedindo que ele corresponda às requisições recebidas. Isso resulta em um bypass completo dos controles de segurança do middleware Express, incluindo autenticação, autorização e limitação de taxa, para todas as rotas definidas nos escopos dos plugins filhos afetados.

Existe um problema onde o software falha ao normalizar URLs antes de passá-las para o middleware do Express quando as opções de normalização do roteador Fastify estão habilitadas. Isso permite que um invasor não autenticado ignore o middleware de autenticação com escopo de caminho manipulando o caminho da URL. Especificamente, a evasão ocorre por meio de barras duplicadas quando `ignoreDuplicateSlashes` está habilitado, ou por meio de delimitadores de ponto e vírgula quando `useSemicolonDelimiter` está habilitado. Nesses cenários, o roteador Fastify normaliza a URL para corresponder à rota, mas a URL original não normalizada é passada para o middleware do Express, fazendo com que ele não corresponda e seja ignorado.

Uma falha de lógica no pipeline de processamento de cabeçalhos do framework Fastify para Node.js permite que atacantes remotos não autenticados ignorem controles de segurança. O problema ocorre porque a função `rewriteRequestHeaders()` processa o cabeçalho `Connection` do cliente após o proxy ter adicionado seus próprios cabeçalhos. Isso permite que um invasor remova retroativamente cabeçalhos adicionados pelo proxy para fins de roteamento, controle de acesso ou segurança, listando-os no valor do cabeçalho `Connection`. Isso pode levar à modificação não autorizada de informações protegidas ou à evasão de mecanismos de identificação e autorização do proxy.