maeshimaの日記

メモ書きです

railsの脆弱性

Riding Rails: CSRF Protection Bypass in Ruby on Rails

を読んで。ざっくりメモ。

  • CSRFの脆弱性あり
  • 2.3.11にあげると、これまでCSRFのチェックで500になってたのが session reset に変更になる
  • handle_unverified_requestメソッドをオーバーライドすると挙動を変えられる
  • 「自動的にログイン」を実装してる場合はそれもオフにするように挙動変えておこうね
  • 全ての ajax requestにCSRFトークンが必要。てことはGETでも必要ってことか(追記:さすがにGETは必要ないみたい。)
  • Rails3の csrf_meta_tag メソッドが2.3.11でも使えるように
  • jquery-snippet.jsつかうと、自動で全てのajaxリクエストにcsrf_meta_tagを追加するらしい

CSRFの脆弱性は分かったけど、 500 → session reset にしても大丈夫かなー。もうちょっと時間かけて調べる必要がありそう