CVE-2023-30861

概要

Flaskは、軽量なWSGI Webアプリケーションフレームワークです。以下のすべての条件が満たされる場合、あるクライアント向けのデータを含むレスポンスがキャッシュされ、その後プロキシによって他のクライアントに送信される可能性があります。プロキシが`Set-Cookie`ヘッダーもキャッシュする場合、あるクライアントの`session` Cookieが他のクライアントに送信される可能性があります。深刻度は、アプリケーションによるセッションの使用方法と、Cookieに関するプロキシの動作によって異なります。リスクは、これらすべての条件が満たされるかどうかに依存します。1. アプリケーションが、Cookieを除去したりCookie付きレスポンスを無視したりしないキャッシングプロキシの背後でホストされている必要があります。2. アプリケーションが`session.permanent = True`を設定している 3. アプリケーションがリクエスト中のどの時点でもセッションにアクセスまたは変更を行わない。4. `SESSION_REFRESH_EACH_REQUEST`が有効であること（デフォルト）。5. アプリケーションがページがプライベートであるかキャッシュされるべきでないことを示す`Cache-Control`ヘッダーを設定していない。これは、脆弱性のあるバージョンのFlaskが、セッションにアクセスまたは変更された場合にのみ`Vary: Cookie`ヘッダーを設定し、アクセスも変更もされずにリフレッシュ（有効期限を更新するための再送信）された場合には設定しないために発生します。この問題はバージョン2.3.2および2.2.5で修正されています。

• cve-2023-30861-pocPoC

  DockerベースのFlask CVE-2023-30861用PoC。Flaskとリバースプロキシキャッシュサーバー間のセッション処理の脆弱性を実証し、セキュリティ研究とテストに使用します。