MFSA 2011-39: CRLF インジェクションによる複数 Location ヘッダへの対策

現在地: セキュリティセンター > Mozilla Foundation セキュリティアドバイザリ > MFSA 2011-39 Mozilla Foundation セキュリティアドバイザリ 2011-39 タイトル: CRLF インジェクションによる複数 Location ヘッダへの対策 重要度: 中 公開日: 2011/09/27 報告者: Ian Graham 影響を受ける製品: Firefox、Thunderbird、SeaMonkey 修正済みのバージョン: Firefox 7.0 Firefox 3.6.23 Thunderbird 7.0 SeaMonkey 2.4 概要 リダイレクト応答に複数の Location ヘッダが存在した場合、Mozilla 製品の挙動が他のブラウザと異なることが、Citrix Online の Ian Graham 氏によって

[taninsw]

Content-Disposition/Content-Length/Content-Type/User-Agent/Referer/Host/Authorization/Proxy-Authorization/If-Modified-Since/If-Unmodified-Since/From/Location/Max-Forwards http://hg.mozilla.org/mozilla-central/rev/cc405052ac0a

[hasegawayosuke]

Content-Typeが2つの場合どーなんだろう。あとで試す。

[kaito834]

「Mozilla 製品は 2 番目の Location ヘッダを使用...Chrome や Internet Explorer は最初のヘッダを使用...異なる値を持ったヘッダが 2 つ存在した場合にはエラー状態として扱うよう...変更されました...Content-Length と Content-Disposition...」