危険なCookieのキャッシュとRailsの脆弱性CVE-2024-26144

ARANK

高度解析部アプリケーションセキュリティ課の山崎です。弊社エンジニアの名古屋と山崎がRuby on RailsのActive Storageの脆弱性CVE-2024-26144を報告しました。本脆弱性はRailsの5.2.0から7.1.0のバージョンに影響するもので、お使いのRailsのバージョンが最新でない場合にはアップデートを推奨します。本記事では本脆弱性の注意点と、関連してCookieのキャッシュに関する調査内容を紹介します。TL;DR・ Set-Cookieヘッダがキャッシュされると別人ログイン問題が発生する・ RailsのActive StorageでSet-Cookieヘッダがキャッシュ可能な設定であった(CVE-2024-26144)・ Nginx(+ Passenger), Apache(+ mod_cache)等のキャッシュ機構と合わせて利用すると実際に事故が発生しうる