FastAPI Local Control Plane Boundary Bypass Vulnerability Analysis and Fix

漏洞概述 该漏洞涉及FastAPI服务器中的本地关闭控制平面边界问题。具体来说，当配置了 时，loopback peer IP可以未经授权地发送 请求，导致本地控制平面进程被终止。 影响范围 跨站loopback关闭请求：远程网站可以发送盲POST请求到本地API，终止本地控制平面进程，而无需知道 。 CVSS评分：7.1 High 攻击向量：网络传递，通过恶意网页，需要用户交互（访问该页面）。 影响：主要影响可用性，有限完整性影响，因为远程页面可以触发本地控制平面操作。 修复方案 1. 关闭授权：使用专用助手处理关闭授权。 2. 配置 ：当配置 时，关闭请求需要匹配的 头，即使来自loopback。 3. 跨站浏览器关闭请求：使用 信号拒绝跨站浏览器关闭请求。 4. 本地直接客户端：本地直接客户端仍可以使用显式bearer auth的端点，当配置了API密钥时。 5. 回归测试：覆盖被拒绝和允许的路径。 POC代码 其他关键信息 受影响的代码： - - 根本原因： - 通用API auth助手故意绕过loopback客户端的令牌检查。 - 重用通用本地信任边界，即使它是破坏性的、浏览器可访问的本地控制平面操作。 - CORS不是足够的防御，因为它不阻止盲表单/跨站效果。 预期漏洞行为： - 预补丁系统接受loopback请求而没有bearer token，并到达关闭sink。 - 安全Docker进程monkeypatched关闭函数以避免杀死进程，同时确认sink被调用。 修复后的行为： - 相同的跨站请求在到达sink之前被拒绝。 文件更改： - ：添加关闭特定授权和跨站浏览器请求拒绝。 - ：覆盖被拒绝的未认证跨站关闭请求和有效的bearer-token关闭。 维护者影响： - 仅局限于 。 - 不改变普通API端点的更广泛loopback开发模型。 - 不反映远程认证API访问。 - 使用 配置的用户必须提供bearer token进行关闭，包括来自loopback客户端。 - 本地直接dev-mode关闭没有 仍然可用于非浏览器loopback客户端。 修复理由： - 关闭是本地破坏性控制平面操作，因此需要比普通loopback API访问更严格的边界。 - 当配置了API密钥时，要求显式bearer授权可以防止浏览器loopback piggybacking绕过配置的密钥，而 检查阻止跨站浏览器交付路径，CORS alone does not stop. 变更类型： - 安全修复 - 测试 - 文档更新 - 重构，无行为变更 测试计划： - Docker聚焦回归测试 - Python语法编译在Docker中 - Docker after-fix proof for the blocked cross-site shutdown request - 空白检查 披露说明： - 该PR仅限于浏览器到loopback关闭路径。 - 它不声称任何本地开发端点的更广泛绕过。 - 没有生产系统、真实凭证或外部服务用于证明。 - 关闭sink在证明期间被monkeypatched，以避免终止证明过程。

目標達成すべての支援者に感謝 — 100%達成しました！

FastAPI Local Control Plane Boundary Bypass Vulnerability Analysis and Fix

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

FastAPI Local Control Plane Boundary Bypass Vulnerability Analysis and Fix

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！