🇰🇷 한글 설명
Fiber는 Go로 작성된 Express 스타일의 웹 프레임워크입니다. 3.3.0 및 2.52.14 이전 버전의 middleware/proxy/proxy.go에 있는 BalancerForward 프록시 헬퍼는 X-Real-IP 헤더를 주입할 때 Header.Set() 대신 Header.Add()를 사용하여, 공격자가 제공한 첫 번째 X-Real-IP 값이 업스트림 서버로 전달될 수 있습니다. 이로 인해 로깅, 레이트 리미팅, 접근 제어가 우회될 수 있습니다.
💡 쉬운 설명
공격자가 자신의 IP 주소를 속여 서버에 보낼 수 있는 취약점입니다. 이로 인해 서버가 실제 사용자 IP를 잘못 인식하여 접근 제한이나 로그 추적이 무력화될 수 있습니다.
🇺🇸 원문 (English)
Fiber is an Express inspired web framework written in Go. Prior to 3.3.0 and 2.52.14, the BalancerForward proxy helper in middleware/proxy/proxy.go uses Header.Add() instead of Header.Set() when injecting X-Real-IP, allowing an attacker-supplied first X-Real-IP value to be forwarded to upstream servers for logging, rate limiting, and access control. This issue is fixed in version 3.3.0 and 2.52.14.
📍 영향받는 시스템
Go Fiber 프레임워크 3.3.0 미만 및 2.52.14 미만 버전 (프록시 미들웨어 사용 환경)
⚔️ 공격 벡터
공격자가 요청에 임의의 X-Real-IP 헤더를 포함시켜 프록시를 거쳐 업스트림 서버로 위조된 IP를 전달
🛡️ 대응 방법
Fiber를 3.3.0 이상 또는 2.52.14 이상으로 업그레이드 (go get -u github.com/gofiber/fiber/v3@latest)
🔧 검증 코드
출력된 버전이 v3.3.0 이상 또는 v2.52.14 이상이면 조치 완료, 그보다 낮으면 취약한 상태이므로 업그레이드가 필요합니다.
go list -m github.com/gofiber/fiber/v2 github.com/gofiber/fiber/v3 2>/dev/null