危険なCookieのキャッシュとRailsの脆弱性CVE-2024-26144 | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ
高度診断部アプリケーションセキュリティ課の山崎です。 弊社エンジニアの名古屋と山崎がRuby on RailsのActive Storageの脆弱性CVE-2024-26144を報告しました。 本脆弱性はRailsの5.2.0から7.1.0のバージョンに影響するもので、お使いのRailsのバージョンが最新でない場合にはアップデートを推奨します。 本記事では本脆弱性の注意点と、関連してCookieのキャッシュに関する調査内容を紹介します。 TL;DR ・ Set-Cookieヘッダがキャッシュされると別人ログイン問題が発生する ・ RailsのActive StorageでSet-Cookieヘッダがキャッシュ可能な設定であった(CVE-2024-26144) ・ Nginx(+ Passenger), Apache(+ mod_cache)等のキャッシュ機構と合わせて利用すると実際に事故が
Goで学ぶCookie操作(設定・送信・取得)まとめ | みんたく
GoにおけるCookie操作(設定・送信・取得)について気になったので、本やネットで調べて自分なりにまとめてみました。 Cookieおさらい正式には「HTTP cookie」でWebサイトへアクセスした際に、ユーザのデバイス(PCやスマホ)に残していくデータのことです。 サーバからHTTPレスポンスメッセージを通して送られるもので、クライアントに保管されます。次回以降はCookieとともにWebサーバーへアクセスするため、ユーザが保持していたCookieにあわせてページを表示することができます。 分類としてはセッションクッキーと永続性クッキーの2種類に分けられます。 Goにおけるtype Cookiehttpパッケージのtype Cookieは以下のような構造体になっています。 基本的にはhttp.Cookie型へのポインタ変数を用意し、NameフィールドにCookie名、Valueフィー
改めて学ぶセッションベース認証[Goによる実例付き] - Qiita
アプリケーションにおけるユーザー認証は、セキュリティとユーザーエクスペリエンスの核となる部分です。 この記事では、セッションベース認証(この記事ではセッション認証とします)の基本を理解し、Go言語(Golang)のを使った具体的な実装方法を解説します。標準ライブラリのみ使用してシンプルに書いてあるのでGo言語を普段使わない人も理解しやすいかと思います。 セッション認証とは？ セッション認証は、ユーザーが一度ログインすると、その後の各リクエストでユーザーを識別する方法です。 通常、セッション認証では以下のステップが含まれます。 ユーザーはブラウザを通じてIDとパスワードを含むログインリクエストをサーバーに送信します。 サーバーは提供された認証情報を検証し、正しいと判断された場合にセッションを確立します。セッション情報はサーバー内とCookieに保存されます。今回はメモリに保存しますが、実際の
![改めて学ぶセッションベース認証[Goによる実例付き] - Qiita](https://cdn-ak-scissors.b.st-hatena.com/image/square/722e1b2d2104f6211630869475e34c5242025825/height=288;version=1;width=512/https%3A%2F%2Fqiita-user-contents.imgix.net%2Fhttps%253A%252F%252Fcdn.qiita.com%252Fassets%252Fpublic%252Fadvent-calendar-ogp-background-7940cd1c8db80a7ec40711d90f43539e.jpg%3Fixlib%3Drb-4.0.0%26w%3D1200%26mark64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTk3MiZoPTM3OCZ0eHQ9JUU2JTk0JUI5JUUzJTgyJTgxJUUzJTgxJUE2JUU1JUFEJUE2JUUzJTgxJUI2JUUzJTgyJUJCJUUzJTgzJTgzJUUzJTgyJUI3JUUzJTgzJUE3JUUzJTgzJUIzJUUzJTgzJTk5JUUzJTgzJUJDJUUzJTgyJUI5JUU4JUFBJThEJUU4JUE4JUJDJTVCR28lRTMlODElQUIlRTMlODIlODglRTMlODIlOEIlRTUlQUUlOUYlRTQlQkUlOEIlRTQlQkIlOTglRTMlODElOEQlNUQmdHh0LWFsaWduPWxlZnQlMkN0b3AmdHh0LWNvbG9yPSUyMzNBM0MzQyZ0eHQtZm9udD1IaXJhZ2lubyUyMFNhbnMlMjBXNiZ0eHQtc2l6ZT01NiZzPTFlYWM0NDVhMDljNDI0NmI1Y2EwZmQxMDQ3NDc3MDFl%26mark-x%3D120%26mark-y%3D96%26blend64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZoPTc2Jnc9OTcyJnR4dD0lNDBZYXNoeSZ0eHQtY29sb3I9JTIzM0EzQzNDJnR4dC1mb250PUhpcmFnaW5vJTIwU2FucyUyMFc2JnR4dC1zaXplPTM2JnR4dC1hbGlnbj1sZWZ0JTJDdG9wJnM9NTZlOWZiYjgyNWJlMjFiOGI5MjhjYWEzZTg3MzZjYzY%26blend-x%3D120%26blend-y%3D500%26blend-mode%3Dnormal%26s%3D83b7004f99b293efe6866765650ca82f)
Is Secure Cookie secure? - CookieのSecure属性・__Host-プレフィックス・HSTSを正しく理解しよう - Flatt Security Blog
こんにちは、 @okazu_dm です。 前回の記事 に引き続きCookie関連のセキュリティに関する記事となります。 今回は、Cookieの仕様を定めたRFC6265(https://datatracker.ietf.org/doc/html/rfc6265)自体に含まれるSecure属性の問題点と、その対策について紹介していきます。 CookieのSecure属性自体は前回紹介したSameSite属性と比較してわかりやすいのもあり、かなり知名度が高いと思われますが、Secure属性単体で守れる範囲というのは実は限定的である、という点を本記事では実験も交えて示していきます。 なお、本記事はセキュリティ以外の分野を主業務とするソフトウェアエンジニアを主な想定読者として書いています。 記事内の検証につかったブラウザのバージョン Cookieについて 中間者攻撃の仕組み 実際に中間者攻撃をして
クッキー｜Go標準ライブラリによるWebアプリ開発
Go標準ライブラリのnet/httpパッケージを利用して、クッキー（Cookie）を操作する方法を説明します。 クッキー操作のサンプル 次のクッキーの各種操作のサンプルです。 package main import ( "encoding/base64" "fmt" "net/http" ) func main() { mux := http.NewServeMux() mux.HandleFunc("/set", set) mux.HandleFunc("/get", get) mux.HandleFunc("/del", del) server := http.Server{ Addr: ":8080", Handler: mux, } server.ListenAndServe() } func set(w http.ResponseWriter, r *http.Request)
Golangで学ぶCookie
執筆のきっかけ 趣味でGoのアプリケーションで認証用のトークンをCookieにセットする処理を書いていました。 Cookie構造体を覗くと色々なプロパティがあり、詳しく調べてみようと思いました。 本記事ではまずCookieとは何かを調べ、最終的にGo上でどう扱えば良いのかを検討しましょう。 そもそもCookieとは？ MDNにはこうあります。 HTTP Cookie (ウェブ Cookie、ブラウザー Cookie) は、サーバーがユーザーのウェブブラウザーに送信する小さなデータであり、ブラウザーに保存され、その後のリクエストと共に同じサーバーへ返送されます。 一般的には、 2 つのリクエストが同じブラウザーから送信されたものであるかを知るために使用されます。例えば、ユーザーのログイン状態を維持することができます。 GoでCookieをセット・読み込む簡単な実装を見てみましょう。 func
Cookieとセッションをちゃんと理解する - Qiita
引用/参考書籍 「よくわかるPHPの教科書」 「初めてのPHP5」 「パーフェクトPHP」 「体系的に学ぶ安全なWebアプリケーションの作り方」 「PHPスーパーサンプル」 「プロになるためのWeb技術入門」 インターネット上で情報をやりとりするということは、大事な内容をはがきに書いて相手に送るようなもの。その情報が相手に届くまでに誰に見られるかわからない。 概要 HTTPはステートレスなプロトコル。「状態」を持てない。 例えば、「ログイン」ページの場合、「ログインしているかどうか」のチェックをする必要がある。 NG例) http://www.littleforest.jp/itemlist?login=ok loginパラメータを調べてokかどうかを調べる。 →→パラメータを容易に改変できてしまう。 解決策として、Cookieとセッションを使う。 Chromeで、Cookieを確認するに
SameSite属性とCSRFとHSTS - Cookieの基礎知識からブラウザごとのエッジケースまでおさらいする - Flatt Security Blog
こんにちは、 @okazu_dm です。 この記事は、CookieのSameSite属性についての解説と、その中でも例外的な挙動についての解説記事です。 サードパーティCookieやCSRF対策の文脈でCookieのSameSite属性に関してはご存知の方も多いと思います。本記事でCookieの基礎から最近のブラウザ上でのSameSite属性の扱いについて触れつつ、最終的にHSTS(HTTP Strict Transport Security)のような注意点を含めて振り返るのに役立てていただければと思います。 前提条件 Cookieについて Cookieの属性について SameSite属性について SameSite属性に関する落とし穴 SameSite属性を指定しなかった場合の挙動 SameSite: Strictでも攻撃が成功するケース 例1: スキームだけ違うケース 例2: サブドメイ
goでWebサービス No.6(cookieとsession)
今回はcookieとsessionについてです。 注意 コマンドラインを使った操作が出て来ることがあります。cd, ls, mkdir, touchといった基本的なコマンドを知っていることを前提に進めさせていただきます。 環境の違いで操作や実行結果に差異が出てくる可能性があります。私の実行環境は以下になります。 MacBook Pro (Early 2015) macOS Catalina ver.10.15.6 go version go1.14.7 darwin/amd64 エディタはVScode 概要 ひと昔前のウェブは情報を表示する場所でした。そのような一方向に情報が流れる状況ではユーザがどのようにページ遷移をし、どのようなものを閲覧したかどうかはあまり重要ではありません。なのでユーザの状態をサーバが知る必要はなくステートレスなHTTPプロトコルで事足ります。 しかし、昨今のように
Ginを使ったGo API開発の初歩（cookie編）
以下の記事でGinをインストールしてGo APIの実装を始めました。今日はcookieを実装します。 Ginを使ったGo API開発の初歩 cookieとは cookieの実装 APIの確認 cookieとは cookieとは、ウェブブラウザに保存される情報のことを指します。 サイトにログイン後、再度同じサイトにアクセスするとログインした状態になっていることがあります。これはcookieとしてユーザー情報が保存されているからです。他にも閲覧したページに関連する広告を出したりと、様々な場面で利用されています。 本記事では、Ginによるcookie操作を確認します。 cookieの実装 Ginによるcookieの設定と取得には以下のメソッドを利用します。それぞれのメソッドの引数・戻り値の型については、gin-GoDocに記載されています。 cookieの設定・・・gin.Context.Coo
Cookie規制って結局、何が変わるの？ 2022年の改正個人情報保護法、注目すべきポイントを解説
（1）個人情報に関する法規制が、世界中で制定されている 日本の個人情報保護法は令和2年（2020年）に改正され、22年4月1日から施行されます。欧州ではGDPR（EU一般データ保護規則）が16年に制定されていますし、米国ではCCPAと呼ばれるカリフォルニア州法が18年に制定されました。東南アジアや南米など世界各国でも、GDPRを踏襲する法律が次々に成立しています。 これらの法律によって、Cookieなどのオンライン識別子の利用に同意取得などが必要になったり、自国の中に個人情報を置いておくことを定める「データローカライゼーション規制」が定められたりしています。 データローカライゼーション規制とは、例えば「A国の国民のデータはA国内のデータセンターに保管しなければならない」と定めるものです。この規定にはたいていの場合、例外条項（特定の国であればデータを置いても構わない、どこの国にデータを保管し
Reactでの認証時にJWTをCookieに設定する方法
SPAでの認証といえばJWTを使うことが多いと思いますが、 localStorageに保存するとセキュリティリスクが高いとかで、 CookieにHttpOnlyな値として保存するのが良いとしばしば言われることもあります。 今回はReact × ExpressでJWTをCookieに保存する具体的な方法を紹介します。 （そもそもJWTを使うべきかとか、localStorageを使うことのリスクなどについては要件次第なのであまり言及しません） 調査にあたっては以下の記事を参考にしました。 React Authentication: How to Store JWT in a Cookie 記事の方法そのままでは自分の環境では上手くいかなかったので、ハマりポイントも含めて手順を解説します。 最終的に出来上がったもの JWTをCookieに保存する https://github.com/Kanat
Cookieの新しい属性、SameParty属性について - ASnoKaze blog
ChromeでCookieのSameParty属性の開発が進められている (コミット)。 現在のところ「SameParty cookie attribute explainer」に説明が書かれている。 今回は、CookieのSameParty属性について簡単にメモしていく。 背景 トラッキング対策、プライバシーの観点でサードパーティクッキーは制限する方向に進んでいる。その制限をSame Partyの場合に緩和する仕組みを提供するのがSameParty属性の話である。 例えば、同一主体により運営されているドメインの異なるサイト (例えば、google.co.jp, google.co.uk) 間においては、いわゆる(cross-site contextsで送られる)サードパーティクッキーを許可しようという話です。 もともとは、First-Party Setsを活用しSameSite属性にFi
CSRF 対策用トークンの値にセッション ID そのものを使ってもいい時代は終わりつつある - co3k.org
CSRF 脆弱性対策には攻撃者の知り得ない秘密情報をリクエストに対して要求すればよく、そのような用途としてはセッション ID がお手軽でいいよねという時代があったかと思います。 いや、もちろん、 CSRF 対策の文脈だけで言えば今も昔も間違いというわけではありません。セッション ID が秘密情報であるのは Web アプリケーションにおいて当然の前提ですので、 CSRF 対策としてリクエストに求めるべきパラメータとしての条件はたしかに満たしています。 たとえば 『安全なウェブサイトの作り方』 改訂第6版では以下のように解説されています。 6-(i)-a. (中略) その「hidden パラメータ」に秘密情報が挿入されるよう、前のページを自動生成して、実行ページではその値が正しい場合のみ処理を実行する。 (中略) この秘密情報は、セッション管理に使用しているセッション ID を用いる方法の他、
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Golang で Cookie を扱うときは Max-Age の指定方法に注意が必要 | risou's Lithograph
Handling Cookies with Gin Framework in Go
Cookieを扱う｜伸び悩んでいる3年目Webエンジニアのための、Python Webアプリケーション自作入門
IIJ、6月16日施行の「Cookie規制」 を解説〜多くのサイトやアプリが対象になり、情報の公表などが義務に 
How to use cURL to send Cookies?
複数のmantisを運用する際のクッキー設定 – Ninton G.K.