Ruby cgi gemのHTTPヘッダインジェクション脆弱性CVE-2021-33621の概要と発見の経緯

この記事はRuby Advent Calendar 2022の第20日の記事です。前日の記事は@ydahさんによる「RuboCopのバージョンを最新に保つ技術」でした。 2022年11月22日に、Ruby cgi gemのHTTPヘッダインジェクション脆弱性CVE-2021-33621が発表がされました。 CVE-2021-33621: HTTP response splitting in CGI RubyのCGIライブラリにHTTPレスポンス分割脆弱性があり、秘密情報が漏洩する - HackerOne CGI::Cookieクラスにおけるセキュリティ上好ましくない仕様および実装 - HackerOne 私はHackerOneを通じてこの脆弱性を報告しました。この記事では、当該脆弱性の概要と発見の経緯などについて報告します。 概要 脆弱性発見の経緯 影響を受けるアプリケーション 影響 対策

[deep_one]

あれ？っという感じで見つけてしまっている（笑）改行を解釈しちゃうのがよくないんだな。

[lets_skeptic]

Apacheの"複数のヘッダがあったときに最後のものだけが有効になる"ってなんか意図あって最後のものだけなのかな？最初のものだけの方が脆弱性の予防としては強そう（今更変えれないのは理解できるけど）

[iga_k]

調査と報告と解説ありがたい！

[mas-higa]

"ゼロデイの脆弱性を説明に使うわけにもいかず"

[Fushihara]

古典的に見えるけどまだこんなの残ってるんだなぁ

[defiant]

この記事をおすすめしました

[willnet]

Apacheの挙動(複数のヘッダがあったときに最後のものだけが有効になる)がめっちゃ参考になった

[ockeghem]

Ruby Advent Calendar 2022の日記を書きました