CVE-2024-45336
ŚrednieStreszczenie
Klient HTTP w Go usuwa wrażliwe nagłówki (np. Authorization) po przekierowaniu między domenami, ale może je ponownie wysłać przy kolejnym przekierowaniu w obrębie tej samej domeny, co stanowi potencjalne ryzyko wycieku danych.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane ujawnienie wrażliwych nagłówków, jeśli atakujący skonfiguruje sekwencję przekierowań (cross-domain, a następnie same-domain), co może prowadzić do kradzieży tokenów lub danych uwierzytelniających.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki Go do wersji zawierającej poprawkę (np. Go 1.23.2 lub nowszej) oraz przejrzenie kodu pod kątem ręcznego zarządzania nagłówkami przy przekierowaniach.
Oryginalny opis (angielski, źródło NVD)
The HTTP client drops sensitive headers after following a cross-domain redirect. For example, a request to a.com/ containing an Authorization header which is redirected to b.com/ will not send that header to b.com. In the event that the client received a subsequent same-domain redirect, however, the