Mastodon CVE-2023-49952: X-Forwarded-For Header Bypasses Rate Limiting

このウェブページのスクリーンショットから、以下の脆弱性に関する重要な情報を取得できます： 1. 脆弱性の概要： - タイトル：X-Forwarded-For ヘッダーを使用したレート制限の回避 - 深刻度：中程度 (4.8 / 10) - CVSS v3 ベース指標： - 攻撃経路：ネットワーク - 攻撃複雑度：高 - 必要な権限：なし - ユーザー相互作用：なし - 影響範囲：不変 - 機密性：低 - 完全性：なし - 可用性：低 2. 影響を受けるバージョン： - <= 4.2.8 - <= 4.1.16 - 4.2.9 - 4.1.17 3. 脆弱性の詳細： - デフォルトでは、ほとんどの API エンドポイントに対してレート制限が適用されています。しかし、設定が正しくない場合、リクエストヘッダーに を設定することで、この対策を回避できます。 - 攻撃者が へ直接接続できる場合、 または HTTP ヘッダーを設定して IP アドレスを偽装し、それを利用してほとんどのレート制限を回避することが可能です。 - Mastodon のレート制限の大半は を通じて行われており、127.0.0.1 が明示的に除外されています。そのため、攻撃者が IP アドレスを偽装できれば、これを回避することができます。 4. 影響： - レート制限という対策を回避することで、それに基づいて機能する他の保護措置（ブルートフォース検出など）もすべて無力化されます。 - 攻撃者は、例えば、自動化された手法で有効なユーザー名と対応するパスワードを推測しようと試みることができます。 - ユーザーは ヘッダーを使用することで、関連するログエントリにおいて異なる IP アドレスから接続しているかのように見せかけることができます。 5. 発見者： - このセキュリティ問題は、BSI の委託によるセキュリティ監査中に mgm security partners によって発見されました。 6. 脆弱性識別子： - CVE-2023-49952 - CWE-307 7. 報告者および調整担当者： - Eichner - rimi これらの情報は、脆弱性の詳細な概要、影響範囲、発見者、および脆弱性識別子などに関する重要な情報を含んでいます。

目標達成すべての支援者に感謝 — 100%達成しました！

Mastodon CVE-2023-49952: X-Forwarded-For Header Bypasses Rate Limiting

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Mastodon CVE-2023-49952: X-Forwarded-For Header Bypasses Rate Limiting

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！