JVNDB-2026-032082

fastifyのfastify/aws-lambdaにおけるデータの信頼性についての不十分な検証に関する脆弱性

@fastify/aws-lambda バージョン6.4.0は、各Fastifyリクエストに対してrequest.awsLambda.eventおよびrequest.awsLambda.contextを付加します。これらの値は、API Gatewayオーソライザーのクレームを読み取るなど、認可判定に利用できることがドキュメントで示されています。デフォルトの設定では、この付加を行うゲッターがクライアントが制御可能なx-apigateway-eventおよびx-apigateway-contextというHTTPヘッダーを先に読み込み、その後、信頼された内部のリクエストトークンにフォールバックします。しかし、これらの予約済みヘッダーは着信イベントから削除されません。したがって、認証されていない攻撃者が単一のHTTPヘッダーを設定できる場合、オーソライザーコンテキストを含む完全なLambdaプロキシイベントを偽造して本物のものを上書きすることが可能です。これにより、request.awsLambda.eventをアイデンティティやアクセス制御に信頼しているすべてのアプリケーションに対して、完全な認証および認可のバイパスと権限昇格が発生します。影響を受けるのはバージョン6.4.0のみです。修正方法としては、@fastify/aws-lambdaを6.4.1にアップグレードしてください。6.4.1では、内部の呼び出しごとのトークンを通じてのみ付加を解決し、リクエスト処理の前に予約済みヘッダーを削除するようになっています。

fastify

• fastify/aws-lambda 6.4.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : @fastify/aws-lambda vulnerable to Lambda event spoofing via client-controlled x-apigateway-event header  Advisory  fastify/aws-lambda-fastify  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. データの信頼性についての不十分な検証(CWE-345) [その他]

1. CVE-2026-18248

1. National Vulnerability Database (NVD) : CVE-2026-18248

• [2026年09月07日]
    掲載