CVE-2025-46721

概要

nosurf は、Go 向けのクロスサイトリクエストフォージェリ (CSRF) 対策ミドルウェアです。1.2.0 より前のバージョンには、対象サイトまたは対象サイトのサブドメイン上のコンテンツを制御できる攻撃者 (XSS またはその他の手段による) が、CSRF チェックを回避し、ユーザーに代わってリクエストを発行できるようにする脆弱性が存在します。Go の `net/http` ライブラリの誤用により、nosurf はすべての受信リクエストをプレーンテキストの HTTP リクエストとして分類し、その場合 `Referer` ヘッダーが対象ウェブページと同じオリジンであるかどうかはチェックされません。攻撃者が対象ウェブサイト (例: `example.com`) または対象のサブドメインでホストされているウェブサイト (例: `attacker.example.com`) 上の HTML コンテンツを制御できる場合、対象ウェブサイト用に設定された Cookie も操作できるようになります。Cookie から秘密の CSRF トークンを取得するか、攻撃者が知っている新しいトークンで Cookie を上書きすることにより、`attacker.example.com` は `example.com` へのクロスサイトリクエストを作成できます。この問題のパッチは nosurf 1.2.0 でリリースされました。パッチ適用済みの nosurf バージョンへのアップグレードに代えて、ユーザーは別の HTTP ミドルウェアを使用して、安全でない HTTP リクエストが同一オリジンから送信されていることを確認することもできます (例: リクエストに `Sec-Fetch-Site: same-origin` ヘッダーを要求する)。

• nosurf-cve-2025-46721PoC

  CVE-2025-46721の概念実証と分析。nosurf Goライブラリにおける、機能しない同一オリジンチェックによるCSRF脆弱性と、動作するエクスプロイトのデモンストレーションを含む。