Ruby on Rails の複数のメソッドセッションの固定

medium Nessus プラグイン ID 28333

Language:

概要

リモート Web サーバーは、セッション固定脆弱性の影響を受けます。

説明

リモートホスト上の Web サーバーは、URL ベースのセッションをサポートするバージョンの Ruby on Rails のようです。認証されていないリモート攻撃者は、この問題を利用して、認証されたセッションを得ることができる場合があります。

Ruby on Rails バージョン 1.2.4 は、当初この問題に対処すると考えられていましたが、そのセッション固定ロジックは、CgiRequest が最初にインスタンス化される場合に、最初のリクエストに対してのみ機能することに注意してください。

ソリューション

Ruby on Rails バージョン 1.2.6 または以降にアップグレードし、「config.action_controller.session_options[:cookie_only]」が「config/environment.rb」ファイルで「true」に設定されていることを確認してください。