Se ha descubierto una grave vulnerabilidad en Fiber v2, un popular framework web para Go, que podría permitir a los atacantes secuestrar sesiones de usuarios, eludir protecciones de seguridad y causar interrupciones en el servicio. El fallo afecta a todas las versiones de Fiber v2 ejecutadas en Go 1.23 o anteriores y fue reportado por el mantenedor del framework hace seis días.

Se ha descubierto una vulnerabilidad grave en Fiber v2, un popular framework web para Go, que podría permitir a los atacantes secuestrar sesiones de usuario, eludir protecciones de seguridad y causar interrupciones del servicio.

El fallo afecta a todas las versiones de Fiber v2 que se ejecuten en Go 1.23 o anteriores y fue reportado por el mantenedor del framework hace seis días.

La vulnerabilidad reside en las funciones de generación de UUID de Fiber v2, que se utilizan en todo el framework para crear identificadores únicos en sesiones, tokens CSRF y otros componentes críticos de seguridad.

Cuando el generador de números aleatorios del sistema no proporciona una aleatoriedad segura —un escenario raro pero posible—, estas funciones silenciosamente recurren a generar un "UUID cero" predecible (00000000-0000-0000-0000-000000000000) en lugar de alertar a los desarrolladores sobre el problema.

Este fallo silencioso es especialmente peligroso porque los desarrolladores no tienen forma de saber que sus tokens de seguridad se han vuelto predecibles.

El problema afecta principalmente a usuarios que ejecutan versiones de Go anteriores a la 1.24, ya que las versiones más recientes manejan los fallos de aleatoriedad de manera diferente, bloqueando o generando un pánico en lugar de devolver errores.

Escenarios de ataque en el mundo real

La generación predecible de UUID crea múltiples riesgos de seguridad. Los atacantes podrían adivinar identificadores de sesión, lo que les permitiría suplantar a usuarios legítimos sin robar credenciales.

Los mecanismos de protección CSRF que dependen de estos UUID se vuelven ineficaces, dejando las aplicaciones vulnerables a ataques de falsificación de solicitudes entre sitios.

Los tokens de autenticación se vuelven adivinables, lo que podría otorgar acceso no autorizado a recursos protegidos.

Quizás lo más preocupante sea el riesgo de denegación de servicio: cuando varios usuarios reciben el mismo UUID cero, los almacenes de sesiones y los limitadores de tasa colapsan en una sola clave compartida, provocando sobrescritura de datos e inestabilidad del sistema.

Aunque los sistemas Linux modernos rara vez experimentan fallos de aleatoriedad, ciertos entornos enfrentan un mayor riesgo.

Las aplicaciones en contenedores, procesos en sandbox, dispositivos embebidos y sistemas mal configurados sin acceso adecuado a fuentes de aleatoriedad (/dev/urandom) son más susceptibles.

Los entornos con sandbox y sistemas con políticas de seguridad restrictivas también pueden activar la vulnerabilidad.

Según un aviso de seguridad publicado, se ha lanzado la versión Fiber 2.52.11 para solucionar esta vulnerabilidad crítica.

Las organizaciones que utilizan Fiber v2 deben actualizar inmediatamente a esta versión parcheada. La corrección ha sido asignada al CVE-2025-66630 y tiene una calificación de severidad "Crítica" con una puntuación CVSS de 8.7 sobre 10.

Los administradores de sistemas también deben verificar que sus entornos tengan acceso adecuado a fuentes de aleatoriedad segura. Revisa los registros en busca de patrones sospechosos de identificadores de sesión idénticos que puedan indicar intentos de explotación.