FreeBSD：mailman -- Web インターフェイスの部分の CSRF 強化（9e50dcc3-740b-11e6-94a2-080027ef73ec）

high Nessus プラグイン ID 93361

Language:

概要

リモート FreeBSD ホストには、セキュリティ関連の更新がありません。

説明

故 Tokio Kikuchi 氏による報告：

最近のクロスサイトリクエスト偽造（CSRF）の活動のために、我々は入力フォームに有効期間を設定するべきかもしれません。フォームの有効期間は、web.py または plone などのようにフレームワークに正常に展開されます。提案されるブランチ lp:~tkikuchi/mailman/form-lifetime で admin、admindb、options および edithtml インターフェイスに有効期限を実装します。[...]

タイムスタンプ付きの非表示の暗号化済みトークンをフォーム提出に追加し、トークンがないか、無効であるか、またはデフォルトで 1 時間になる新しい mm_cfg.py の FORM_LIFETIME 設定よりも古い場合には、クッキーによる認証を受け付けないことで、Web 管理インターフェイスが CSRF 攻撃に対して強化されました。Posthumous では、この実装に関して Tokio Kikuchi 氏に感謝の意を表します [...]。