CVE-2016-7401 CSRF protection bypass on a site with Google Analytics の解説

gistfile1.md CVE-2016-7401 https://www.djangoproject.com/weblog/2016/sep/26/security-releases/ https://hackerone.com/reports/26647 pythonのcookie parserが ; 以外もpairsの区切り文字として解釈するので、google analyticsのreferrer経由でsetされるcookieを使ってCSRF tokenを上書き可能だったという問題。 django側でcookie parser自前で実装、python本体は直ってないようだ https://github.com/django/django/commit/d1bc980db1c0fffd6d60677e62f70beadb9fe64a 多くのcookie parserは、pairsの区

[raimon49]

Django 1.8/1.9

[ishiduca]

"server: このような事情があるため [;,] を cookie pairsのdelimiterとして使用するのは、今では互換性よりもcookie上書きの弊害のほうが大きいと考えられるので、見直したほうが良い"

[Kiske]

“CVE-2016-7401”

[kazutomo]

歴史的負債