CVE-2026-16732

概要

fastifyは、Node.js向けの高速でオーバーヘッドの低いWebフレームワークです。影響: CVE-2026-3635の修正により、リクエストのホスト、プロトコル、ホスト名、ip、ipsの値を導出するために使用されるforwarded-headerの読み取りにガードが追加され、接続元アドレスがチェックされるようになりました。このガードは、trustProxyのIP、CIDR、およびカスタム関数形式を正しく遮断します。これらの形式は接続元アドレスを検査する述語にコンパイルされるためです。trustProxyが数値に設定されるホップ数形式は、構造的にアドレスを無視する述語にコンパイルされるため、ホップ数が1以上であればガードは常に満たされます。数値のtrustProxy値（単一のリバースプロキシに対してtrustProxyを1に設定するなど）で構成されたアプリケーションは引き続き脆弱です。フロントエンドのプロキシを迂回してFastifyオリジンに直接到達できる攻撃者は、パッチ適用前のバージョンとまったく同じようにforwardedリクエストフィールドを偽装できます。影響の分類は親のCVE-2026-3635と一致し、生成されたURLでのホストインジェクション、HTTPS強制のバイパス、セキュアクッキーおよびCSRFオリジンのバイパス、ホストベースのルーティングとキャッシュポイズニングが含まれます。影響を受けるバージョンは、fastify 5.8.3以上5.12.1未満です。パッチ: fastify 5.12.1でパッチが適用され、trustProxyの数値形式は実行時に無効化され、TypeScriptの型ユニオンから削除されました。回避策: 接続元アドレスを検証するIP、CIDR、またはカスタム関数のtrustProxy値に移行し、Fastifyオリジンが信頼できるプロキシチェーンを通じてのみ到達可能であることを確認してください。

ソース

• CVE-2026-18504-CVE-2026-16732PoC

  CVEの概念実証エクスプロイトを隔離されたラボ、仮想マシン、および認可されたペネトレーションテスト環境内で文書化・テストするための教育用リポジトリです。