CVE-2026-18248 in aws-lambda
요약
\~에 의해 VulDB • 2026. 08. 03.
@fastify/aws-lambda 버전 6.4.0은 각 Fastify 요청에 `request.awsLambda.event` 및 `request.awsLambda.context`라는 데코레이션을 추가합니다. 이 값들은 API Gateway 인증자 클레임 읽기와 같은 권한 부여 결정을 내리기 위해 애플리케이션이 사용하도록 문서화되어 있습니다. 기본 구성에서 이러한 데코레이션을 채우는 getter는 신뢰할 수 있는 내부 요청 토큰으로 폴백하기 전에 클라이언트 제어 가능한 `x-apigateway-event` 및 `x-apigateway-context` HTTP 헤더를 읽으며, 해당 예약된 헤더들은 들어오는 이벤트에서 제거되지 않습니다. 따라서 단일 HTTP 헤더를 설정할 수 있는 비인증 공격자는 인증자 컨텍스트를 포함한 전체 Lambda 프록시 이벤트를 위조하고 실제 값을 덮어쓸 수 있습니다. 이로 인해 `request.awsLambda.event`를 신원 또는 접근 제어에 신뢰하는 모든 애플리케이션에서 완전한 인증 및 권한 부여 우회와 권한 상승이 발생합니다. 영향을 받는 버전은 6.4.0뿐입니다. 패치: @fastify/aws-lambda 6.4.1로 업그레이드하십시오. 이 버전에서는 요청 처리 전에 예약된 헤더를 제거하고 내부 호출별 토큰을 통해서만 데코레이션을 해결합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.