Vulnerabilidad en Fabio (CVE-2025-48865)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-345
Verificación insuficiente de autenticidad de los datos
Fecha de publicación:
30/05/2025
Última modificación:
04/06/2025
Descripción
Fabio es un enrutador HTTP(S) y TCP para implementar aplicaciones administradas por consul. Antes de la versión 1.6.6, Fabio permitía a los clientes eliminar los encabezados X-Forwarded (excepto X-Forwarded-For) debido a una vulnerabilidad en el procesamiento de los encabezados salto a salto. Fabio añade encabezados HTTP como X-Forwarded-Host y X-Forwarded-Port al enrutar solicitudes a aplicaciones backend. Dado que la aplicación receptora debe confiar en estos encabezados, permitir que los clientes HTTP los eliminen o modifiquen crea posibles vulnerabilidades de seguridad. Algunos de estos encabezados personalizados pueden eliminarse y, en ciertos casos, manipularse. El ataque se basa en que los encabezados pueden definirse como salto a salto mediante el encabezado HTTP Connection. Este problema se ha corregido en la versión 1.6.6.
Impacto
Puntuación base 3.x
9.10
Gravedad 3.x
CRÍTICA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:fabiolb:fabio:*:*:*:*:*:go:*:* | 1.6.6 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página