Ruby on Railsにcookie保存関連の脆弱性、2000サイトで放置状態

Ruby on Railsの「CookieStore」では、ユーザーのセッションハッシュが暗号化されない状態でクライアントサイドのcookieに保存されていた。 オープンソースのWebアプリケーション開発フレームワーク「Ruby on Rails」にユーザーのcookie保存に関する脆弱性が指摘され、大手サイトを含む2000あまりのWebサイトで問題が放置されているという。セキュリティ企業Kaspersky Labのニュースサービス「Threatpost」が11月26日に伝えた。 この脆弱性はセキュリティ研究者のG・S・マクナマラ氏が9月に指摘したもので、Ruby on Railsのデフォルトのcookie保存メカニズム「CookieStore」の問題に起因する。4.0以前のバージョンでは、各ユーザーのセッションハッシュが暗号化されない状態でクライアントサイドのcookieに保存され、各c

[MinazukiBakera]

「Ruby on Railsにcookie保存関連の脆弱性、2000サイトで放置状態」 ……ずいぶんセンセーショナルな見出しですね。

[nacika_inscatolare]

ひどい記事記念

[As_hsp]

ひどい記事記念

[willnet]

もしかしたらこれって釣りなのかな

[tyage]

？

[ockeghem]

この書き方はちょっと…サーバー側にセッション情報を保持する場合に比べて脅威が増すのは、クッキーが盗聴された後ではログアウトが難しくなること

[masatomo-m]

この記事を見て「Railsはやっぱり枯れてないからだめだな」みたいな事を言う人がわらわら出てくるに10000ペリカ

[nemoba]

”攻撃者が暗号化されたcookieをサーバに送信すれば、cookieのコンテンツを解読しなくても被害者になりすましてログインできる”これは世の中に存在するcookieベースのセッション機構全部にあてはまるわけだが。。

[shin1x1]

"セッションハッシュ"のハッシュはハッシュテーブルのことか。ハッシュ値のことかと思って「？」になった。

[tmatsuu]

どういうこっちゃ、と思ってCookieStoreについて調べたら、あーこれはあかんやつや。

[hirata_yasuyuki]

まとめた http://bit.ly/18K0OyJ

[TokyoIncidents]

Production で CookieStore 使ってるのってどのくらいあるんだろう？

[mellow-mikan]

本当は怖いCookieStore