Content-Disposition の filename という地雷。 (1個の観点で17個の脆弱性を見つけた話) - ぶるーたるごぶりん

English ver: https://gist.github.com/motoyasu-saburi/1b19ef18e96776fe90ba1b9f910fa714#file-lack_escape_content-disposition_filename-md TL;DR 1つのブラウザ、1つのプログラミング言語、15個の { Web Framework, HTTP Client ライブラリ, Email ライブラリ / Web Service 等} で脆弱性を見つけました。 見つけた脆弱性は、全て 1つの観点で発見した (多分 50-80 くらいのプロダクトの調査をした)。 RFC の記載では、（かなりわかりにくく）この問題に対する要件が記載されており、WHATWG > HTML Spec の方はしっかりと書かれているといった状況にある。 この問題は、 Content-Dispo

[gfx]

"Content-Disposition の filename, filename* はちゃんとエスケープしましょう"

[yaminusi]

IE10が現役の頃はそもそも全ブラウザで Content-Disposition に渡せる値がバラバラで、生の CP932 じゃないと化けたりしてたなぁと。

[rryu]

Content-Dispositionのfilenameはブラウザ側の実装がどうなっているのか分からないので任意の値を指定することはお勧めできないという感じだったが本当にそんな感じだった。

[lost_and_found]

むむむ

[ys0000]

興味深い。まず途中まで読んだが残りもちゃんと読みたい。

[tyage]

私もCVE-2020-5398見て、へーと思った記憶あるな。抜け穴（CVE-2020-5421）あって報告したけど

[AKIMOTO]

ありがたい

[kenzy_n]

連鎖爆発