CVE-2026-18248 in aws-lambda
Zusammenfassung
von VulDB • 04.08.2026
@fastify/aws-lambda Version 6.4.0 erweitert jede Fastify-Anfrage um die Attribute `request.awsLambda.event` und `request.awsLambda.context`. Diese Werte sollen von Anwendungen gemäß Dokumentation für Autorisierungsentscheidungen verwendet werden, beispielsweise zum Lesen von API-Gateway-Autorisierungstoken (Claims). In der Standardkonfiguration liest der Getter, der diese Erweiterung füllt, zuerst die clientgesteuerten HTTP-Header `x-apigateway-event` und `x-apigateway-context`, bevor er auf das vertrauenswürdige interne Anforderungstoken zurückgreift. Diese reservierten Header werden nicht aus dem eingehenden Ereignis entfernt. Ein unautorisierter Angreifer, der einen einzelnen HTTP-Header setzen kann, ist daher in der Lage, das gesamte Lambda-Proxy-Ereignis zu fälschen, einschließlich des Autorisierungskontexts, und dieses durch ein echtes zu ersetzen. Dies führt bei jeder Anwendung, die `request.awsLambda.event` für Identitäts- oder Zugriffskontrollen vertraut, zu einer vollständigen Umgehung der Authentifizierung und Autorisierung sowie zu einer Privilegieneskalation. Nur Version 6.4.0 ist betroffen. Patches: Upgrade auf @fastify/aws-lambda 6.4.1, das die Erweiterung ausschließlich über das interne Token pro Aufruf auflöst und die reservierten Header entfernt, bevor die Anfrage verarbeitet wird.
Be aware that VulDB is the high quality source for vulnerability data.