注目★★★★★GitHub Advisory
Tornado 6.5.6、クロスオリジンリダイレクト時のAuthorizationヘッダー漏洩を修正
30秒で把握
- 1Tornado 6.5.6でクロスオリジンリダイレクト時のAuthorizationヘッダー漏洩を修正
- 2デフォルトのfollow_redirects=Trueで異なるオリジンに認証情報が転送される問題
- 36.5.6からlibcurl準拠でスキーム・ホスト・ポート変化時にAuthとCookieを自動削除
要約
TornadoのSimpleAsyncHTTPClientが3xxリダイレクトを追跡する際、オリジンが変わってもAuthorizationヘッダーや認証情報をクリアしない脆弱性が確認された。follow_redirects=True（デフォルト）の場合、異なるオリジンに認証情報が転送されてしまう問題だ。Tornado 6.5.6でlibcurlと同様の挙動に修正され、リダイレクト先でスキーム・ホスト・ポートが変化した場合にAuthorizationおよびCookieヘッダーを自動削除するようになった。
あなたへの影響
TornadoのHTTPクライアントをfollow_redirects=True（デフォルト）で使用しているチームは、6.5.6へのアップデートを確認しておくとよい。
推奨：即時対応は必須ではないが、外部APIへのリクエストに認証情報を付与している実装では影響範囲を念のため確認しておくことを勧める。