CVE-2023-27495 in csrf-protection
要約
〜によって VulDB • 2026年06月02日
@fastify/csrf-protectionは、FastifyサーバーをCSRF攻撃から保護するためのプラグインです。@fastify/csrf-protectionライブラリと@fastify/cookieの組み合わせによって適用されるCSRF保護は、特定の条件下でネットワーク攻撃者および同じサイト（same-site）攻撃者によって回避可能です。
@fastify/csrf-protectionは、CSRFトークンをユーザーにバインドする任意のuserInfoパラメータをサポートしています。このパラメータは、CVE-2021-29624に対する修正策として、Cookieトス（cookie-tossing）攻撃を防ぐために導入されました。userInfoパラメータが欠落している場合、またはターゲットユーザーアカウントに対してその値を予測可能な場合、ネットワーク攻撃者および同じサイト攻撃者は以下の2つの操作を行うことができます。1. 被害者のブラウザに_csrf Cookieを固定する。2. 被害者のセッションに対して有効なCSRFトークンを偽造する。これにより、攻撃者はCSRF保護メカニズムを回避できます。
修正策として、バージョン6.3.0（およびv4.1.0）以降の@fastify/csrf-protectionには、サーバー定義の秘密鍵であるhmacKeyが含まれており、これによりCSRFトークンが_csrf Cookieの値およびuserInfoパラメータに暗号的にバインドされ、攻撃者によるトークンのなりすましが不可能になります。この保護は、各ユーザーに対してuserInfoパラメータが一意である限り有効です。
この問題はバージョン6.3.0およびv4.1.0で修正されています。ユーザーはアップグレードすることをお勧めします。アップグレードが不可能な場合、各ユーザーに対してランダムで予測不可能なuserInfoパラメータを使用することで緩和策とすることができます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.