railsの脆弱性
Riding Rails: CSRF Protection Bypass in Ruby on Rails
を読んで。ざっくりメモ。
- CSRFの脆弱性あり
- 2.3.11にあげると、これまでCSRFのチェックで500になってたのが session reset に変更になる
- handle_unverified_requestメソッドをオーバーライドすると挙動を変えられる
- 「自動的にログイン」を実装してる場合はそれもオフにするように挙動変えておこうね
- 全ての ajax requestにCSRFトークンが必要。てことはGETでも必要ってことか(追記:さすがにGETは必要ないみたい。)
- Rails3の csrf_meta_tag メソッドが2.3.11でも使えるように
- jquery-snippet.jsつかうと、自動で全てのajaxリクエストにcsrf_meta_tagを追加するらしい
CSRFの脆弱性は分かったけど、 500 → session reset にしても大丈夫かなー。もうちょっと時間かけて調べる必要がありそう