危険なCookieのキャッシュとRailsの脆弱性CVE-2024-26144 | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ
高度診断部アプリケーションセキュリティ課の山崎です。 弊社エンジニアの名古屋と山崎がRuby on RailsのActive Storageの脆弱性CVE-2024-26144を報告しました。 本脆弱性はRailsの5.2.0から7.1.0のバージョンに影響するもので、お使いのRailsのバージョンが最新でない場合にはアップデートを推奨します。 本記事では本脆弱性の注意点と、関連してCookieのキャッシュに関する調査内容を紹介します。 TL;DR ・ Set-Cookieヘッダがキャッシュされると別人ログイン問題が発生する ・ RailsのActive StorageでSet-Cookieヘッダがキャッシュ可能な設定であった(CVE-2024-26144) ・ Nginx(+ Passenger), Apache(+ mod_cache)等のキャッシュ機構と合わせて利用すると実際に事故が
Goで学ぶCookie操作(設定・送信・取得)まとめ | みんたく
GoにおけるCookie操作(設定・送信・取得)について気になったので、本やネットで調べて自分なりにまとめてみました。 Cookieおさらい正式には「HTTP cookie」でWebサイトへアクセスした際に、ユーザのデバイス(PCやスマホ)に残していくデータのことです。 サーバからHTTPレスポンスメッセージを通して送られるもので、クライアントに保管されます。次回以降はCookieとともにWebサーバーへアクセスするため、ユーザが保持していたCookieにあわせてページを表示することができます。 分類としてはセッションクッキーと永続性クッキーの2種類に分けられます。 Goにおけるtype Cookiehttpパッケージのtype Cookieは以下のような構造体になっています。 基本的にはhttp.Cookie型へのポインタ変数を用意し、NameフィールドにCookie名、Valueフィー
改めて学ぶセッションベース認証[Goによる実例付き] - Qiita
アプリケーションにおけるユーザー認証は、セキュリティとユーザーエクスペリエンスの核となる部分です。 この記事では、セッションベース認証(この記事ではセッション認証とします)の基本を理解し、Go言語(Golang)のを使った具体的な実装方法を解説します。標準ライブラリのみ使用してシンプルに書いてあるのでGo言語を普段使わない人も理解しやすいかと思います。 セッション認証とは？ セッション認証は、ユーザーが一度ログインすると、その後の各リクエストでユーザーを識別する方法です。 通常、セッション認証では以下のステップが含まれます。 ユーザーはブラウザを通じてIDとパスワードを含むログインリクエストをサーバーに送信します。 サーバーは提供された認証情報を検証し、正しいと判断された場合にセッションを確立します。セッション情報はサーバー内とCookieに保存されます。今回はメモリに保存しますが、実際の
![改めて学ぶセッションベース認証[Goによる実例付き] - Qiita](https://cdn-ak-scissors.b.st-hatena.com/image/square/722e1b2d2104f6211630869475e34c5242025825/height=288;version=1;width=512/https%3A%2F%2Fqiita-user-contents.imgix.net%2Fhttps%253A%252F%252Fcdn.qiita.com%252Fassets%252Fpublic%252Fadvent-calendar-ogp-background-7940cd1c8db80a7ec40711d90f43539e.jpg%3Fixlib%3Drb-4.0.0%26w%3D1200%26mark64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTk3MiZoPTM3OCZ0eHQ9JUU2JTk0JUI5JUUzJTgyJTgxJUUzJTgxJUE2JUU1JUFEJUE2JUUzJTgxJUI2JUUzJTgyJUJCJUUzJTgzJTgzJUUzJTgyJUI3JUUzJTgzJUE3JUUzJTgzJUIzJUUzJTgzJTk5JUUzJTgzJUJDJUUzJTgyJUI5JUU4JUFBJThEJUU4JUE4JUJDJTVCR28lRTMlODElQUIlRTMlODIlODglRTMlODIlOEIlRTUlQUUlOUYlRTQlQkUlOEIlRTQlQkIlOTglRTMlODElOEQlNUQmdHh0LWFsaWduPWxlZnQlMkN0b3AmdHh0LWNvbG9yPSUyMzNBM0MzQyZ0eHQtZm9udD1IaXJhZ2lubyUyMFNhbnMlMjBXNiZ0eHQtc2l6ZT01NiZzPTFlYWM0NDVhMDljNDI0NmI1Y2EwZmQxMDQ3NDc3MDFl%26mark-x%3D120%26mark-y%3D96%26blend64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZoPTc2Jnc9OTcyJnR4dD0lNDBZYXNoeSZ0eHQtY29sb3I9JTIzM0EzQzNDJnR4dC1mb250PUhpcmFnaW5vJTIwU2FucyUyMFc2JnR4dC1zaXplPTM2JnR4dC1hbGlnbj1sZWZ0JTJDdG9wJnM9NTZlOWZiYjgyNWJlMjFiOGI5MjhjYWEzZTg3MzZjYzY%26blend-x%3D120%26blend-y%3D500%26blend-mode%3Dnormal%26s%3D83b7004f99b293efe6866765650ca82f)
Is Secure Cookie secure? - CookieのSecure属性・__Host-プレフィックス・HSTSを正しく理解しよう - Flatt Security Blog
こんにちは、 @okazu_dm です。 前回の記事 に引き続きCookie関連のセキュリティに関する記事となります。 今回は、Cookieの仕様を定めたRFC6265(https://datatracker.ietf.org/doc/html/rfc6265)自体に含まれるSecure属性の問題点と、その対策について紹介していきます。 CookieのSecure属性自体は前回紹介したSameSite属性と比較してわかりやすいのもあり、かなり知名度が高いと思われますが、Secure属性単体で守れる範囲というのは実は限定的である、という点を本記事では実験も交えて示していきます。 なお、本記事はセキュリティ以外の分野を主業務とするソフトウェアエンジニアを主な想定読者として書いています。 記事内の検証につかったブラウザのバージョン Cookieについて 中間者攻撃の仕組み 実際に中間者攻撃をして
クッキー｜Go標準ライブラリによるWebアプリ開発
Go標準ライブラリのnet/httpパッケージを利用して、クッキー（Cookie）を操作する方法を説明します。 クッキー操作のサンプル 次のクッキーの各種操作のサンプルです。 package main import ( "encoding/base64" "fmt" "net/http" ) func main() { mux := http.NewServeMux() mux.HandleFunc("/set", set) mux.HandleFunc("/get", get) mux.HandleFunc("/del", del) server := http.Server{ Addr: ":8080", Handler: mux, } server.ListenAndServe() } func set(w http.ResponseWriter, r *http.Request)
Golangで学ぶCookie
執筆のきっかけ 趣味でGoのアプリケーションで認証用のトークンをCookieにセットする処理を書いていました。 Cookie構造体を覗くと色々なプロパティがあり、詳しく調べてみようと思いました。 本記事ではまずCookieとは何かを調べ、最終的にGo上でどう扱えば良いのかを検討しましょう。 そもそもCookieとは？ MDNにはこうあります。 HTTP Cookie (ウェブ Cookie、ブラウザー Cookie) は、サーバーがユーザーのウェブブラウザーに送信する小さなデータであり、ブラウザーに保存され、その後のリクエストと共に同じサーバーへ返送されます。 一般的には、 2 つのリクエストが同じブラウザーから送信されたものであるかを知るために使用されます。例えば、ユーザーのログイン状態を維持することができます。 GoでCookieをセット・読み込む簡単な実装を見てみましょう。 func
Cookieとセッションをちゃんと理解する - Qiita
引用/参考書籍 「よくわかるPHPの教科書」 「初めてのPHP5」 「パーフェクトPHP」 「体系的に学ぶ安全なWebアプリケーションの作り方」 「PHPスーパーサンプル」 「プロになるためのWeb技術入門」 インターネット上で情報をやりとりするということは、大事な内容をはがきに書いて相手に送るようなもの。その情報が相手に届くまでに誰に見られるかわからない。 概要 HTTPはステートレスなプロトコル。「状態」を持てない。 例えば、「ログイン」ページの場合、「ログインしているかどうか」のチェックをする必要がある。 NG例) http://www.littleforest.jp/itemlist?login=ok loginパラメータを調べてokかどうかを調べる。 →→パラメータを容易に改変できてしまう。 解決策として、Cookieとセッションを使う。 Chromeで、Cookieを確認するに
SameSite属性とCSRFとHSTS - Cookieの基礎知識からブラウザごとのエッジケースまでおさらいする - Flatt Security Blog
こんにちは、 @okazu_dm です。 この記事は、CookieのSameSite属性についての解説と、その中でも例外的な挙動についての解説記事です。 サードパーティCookieやCSRF対策の文脈でCookieのSameSite属性に関してはご存知の方も多いと思います。本記事でCookieの基礎から最近のブラウザ上でのSameSite属性の扱いについて触れつつ、最終的にHSTS(HTTP Strict Transport Security)のような注意点を含めて振り返るのに役立てていただければと思います。 前提条件 Cookieについて Cookieの属性について SameSite属性について SameSite属性に関する落とし穴 SameSite属性を指定しなかった場合の挙動 SameSite: Strictでも攻撃が成功するケース 例1: スキームだけ違うケース 例2: サブドメイ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Golang で Cookie を扱うときは Max-Age の指定方法に注意が必要 | risou's Lithograph
Handling Cookies with Gin Framework in Go
Cookieを扱う｜伸び悩んでいる3年目Webエンジニアのための、Python Webアプリケーション自作入門