現在地: セキュリティセンター > Mozilla Foundation セキュリティアドバイザリ > MFSA 2011-39

Mozilla Foundation セキュリティアドバイザリ 2011-39

タイトル: CRLF インジェクションによる複数 Location ヘッダへの対策
重要度:
公開日: 2011/09/27
報告者: Ian Graham
影響を受ける製品: Firefox、Thunderbird、SeaMonkey

修正済みのバージョン: Firefox 7.0
  Firefox 3.6.23
  Thunderbird 7.0
  Thunderbird 3.1.15
  SeaMonkey 2.4

概要

リダイレクト応答に複数の Location ヘッダが存在した場合、Mozilla 製品の挙動が他のブラウザと異なることが、Citrix Online の Ian Graham 氏によって報告されました。Mozilla 製品は 2 番目の Location ヘッダを使用しますが、Chrome や Internet Explorer は最初のヘッダを使用します。このヘッダが異なる値で 2 つ存在した場合、脆弱なサーバに対する CRLF インジェクション攻撃の兆候である可能性が考えられます。通常、レスポンス分割の影響を受けるのはその Location ヘッダ自体であり、このため Mozilla 製品が使用する 2 番目のヘッダがより悪質である可能性があります。しかし、サーバの脆弱性の性質によっては、最初のヘッダが注入されたものである場合もあります。

Mozilla のブラウザエンジンは、異なる値を持ったヘッダが 2 つ存在した場合にはエラー状態として扱うよう、挙動が変更されました。同様の対策が Content-LengthContent-Disposition ヘッダに対しても行われました。

参考資料