🇰🇷 한글 설명
gorilla/csrf 1.7.2 미만 버전에서 Origin 헤더를 허용 목록과 대조하여 검증하지 않는 취약점이 발견되었습니다. Go 사양에 따라 서버 요청 시 r.URL.Scheme 값이 채워지지 않아 Referer 헤더 검증이 실행되지 않으므로, 동일한 최상위 도메인을 공유하는 서브도메인에서 XSS를 통해 인증된 폼 제출 공격이 가능합니다.
💡 쉬운 설명
웹사이트의 보안 검사 기능이 특정 조건에서 제대로 작동하지 않아, 해커가 사용자의 권한을 도용해 가짜 요청을 보낼 수 있는 문제입니다. 같은 도메인을 사용하는 다른 사이트에서 공격이 시작될 수 있습니다.
🇺🇸 원문 (English)
gorilla/csrf provides Cross Site Request Forgery (CSRF) prevention middleware for Go web applications & services. Prior to 1.7.2, gorilla/csrf does not validate the Origin header against an allowlist. Its executes its validation of the Referer header for cross-origin requests only when it believes the request is being served over TLS. It determines this by inspecting the r.URL.Scheme value. However, this value is never populated for "server" requests per the Go spec, and so this check does not run in practice. This vulnerability allows an attacker who has gained XSS on a subdomain or top level domain to perform authenticated form submissions against gorilla/csrf protected targets that share the same top level domain. This vulnerability is fixed in 1.7.2.
📍 영향받는 시스템
gorilla/csrf versions prior to 1.7.2
⚔️ 공격 벡터
동일한 최상위 도메인을 공유하는 서브도메인에서 XSS를 이용한 CSRF 공격
🛡️ 대응 방법
gorilla/csrf 라이브러리를 1.7.2 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.7.2 미만인지 확인하십시오.
go list -m github.com/gorilla/csrf 2>/dev/null