現在地: セキュリティセンター > Mozilla Foundation セキュリティアドバイザリ > MFSA 2015-04

Mozilla Foundation セキュリティアドバイザリ 2015-04

タイトル: プロキシ認証レスポンスを通じた Cookie 注入
重要度:
公開日: 2015/01/13
報告者: Xiaofeng Zheng (Blue Lotus Team)
影響を受ける製品: Firefox、Firefox ESR、SeaMonkey、Thunderbird

修正済みのバージョン: Firefox 35
  Firefox ESR 31.4
  Seamonkey 2.32
  Thunderbird 31.4

概要

Set-Cookie ヘッダを伴った 407 Proxy Authentication レスポンスを返す Web プロキシが、元々リクエストされたドメインに Cookie を注入できてしまうことが、清華大学 Blue Lotus Team のセキュリティ研究者 Xiaofeng Zheng 氏によって報告されました。これはセッション固定攻撃に悪用される恐れがありました。この攻撃は Cookie の書き込みのみ可能にするもので、読み取りはできません。

Thunderbird では一般的にメールを通じたこの脆弱性の悪用は不可能です。ただしこれらの製品でも、ブラウザもしくはブラウザに類似した機能を利用した場合、潜在的なリスクが生じます。

参考資料