Niebezpiecznik

Developerzy frameworków Ruby on Rails oraz Django wypuścili aktualizacje fragmentów kodu odpowiedzialnych za ochronę przed atakami CSRF.

Ataki CSRF na Django i ROR

Oba frameworki posiadają standardową ochronę przed atakami CSRF, polegającą na sprawdzeniu tokena. Ochrona ta jednak nie obejmowała żądań AJAX-owych, które framework rozpoznawał po nagłówku X-Requested-With. Gwarantem bezpieczeństwa tego “wyjątku” przy weryfikacji tokena była SOP.

Okazuje się jednak, że można zmusić przeglądarkę do ustawienia nagłówka X-Requested-With w sposób inny niż za pomocą XMLHttpRequest z domeny webaplikacji — a tak przynajmniej twierdzi inżynier Google, który powiadomił teamy Django i ROR o technice ataku wykorzystującej “pewne pluginy w przeglądarkach oraz zestaw przekierowań“, pozwalający w konsekwencji na przesłanie zespoofowanego żądania pomiędzy różnymi domenami.

I mimo, że nie wyjawiono szczegółów ataku, to najwyraźniej nie można go lekceważyć — developerzy obu frameworków zdecydowali się na wydanie poprawek “niekompatybilnych” wstecz. Poprawki w dużej mierze polegają na objęciu żądaniach AJAX-owych wymogiem weryfikacji tokena CSRF. Zarówno Django jak i Ruby on Rails zachęcają do natychmiastowej aktualizacji.

Przeczytaj także:

• Ruby on Rails – warsztaty z bezpieczeństwa (otwieramy zapisy!)
• CSRF w FTP. Jednym słowem: WOW!
• Krytyczna dziura w Ruby on Rails, atakujący może wykonać dowolny kod na serwerze ofiary