Awesome WebSockets Security

WebSocketセキュリティに関連するCVE、研究、参考資料のコレクションです

---

目次

• WebSocketライブラリの脆弱性
• カンファレンス発表
• WebSocketの一般的な弱点
• WebSocketセキュリティツール
• バグバウンティWriteup
• 参考になるブログ記事

---

WebSocketライブラリの脆弱性

この脆弱性リストは、WebSocketのCVEと、一般的に使われるWebSocketサーバー実装における関連問題を 収集することを目的としています。

CVE ID	脆弱なパッケージ	関連記事	脆弱性の概要
CVE-2021-42340	Tomcat	Apache メーリングリスト	メモリリークによるDoS
CVE-2021-33880	Python websockets	GitHub セキュリティアドバイザリ	HTTPベーシック認証のタイミング攻撃
CVE-2021-32640	ws	GitHub セキュリティアドバイザリ	正規表現のバックトラッキングによるDoS
CVE-2020-36406	uWebSockets	OSS Fuzz サマリー	スタックバッファオーバーフロー
CVE-2020-27813	Gorilla	GitHub セキュリティアドバイザリ	整数オーバーフロー
CVE-2020-24807	socket.io-file	Auxilium Security	ファイル種別制限のバイパス
CVE-2020-15779	socket.io-file	Auxilium Security	パストラバーサル
CVE-2020-15134	faye-websocket	GitHub セキュリティアドバイザリ	TLS証明書の検証がない
CVE-2020-15133	faye-websocket	GitHub セキュリティアドバイザリ	TLS証明書の検証がない
CVE-2020-11050	Java WebSocket	GitHub セキュリティアドバイザリ	SSLホスト名の検証が実行されない
CVE-2020-7663	Ruby websocket-extensions	Writeup	正規表現のバックトラッキングによるDoS
CVE-2020-7662	npm websocket-extensions	Writeup	正規表現のバックトラッキングによるDoS
なし	Socket.io	GitHub Issue	CORS設定ミス
CVE-2018-1000518	Python websockets	GitHub PR	圧縮データの展開時にメモリを枯渇させるDoS
なし	Tornado	GitHub PR	圧縮データの展開時にメモリを枯渇させるDoS
CVE-2018-21035	Qt WebSockets	バグレポート	メッセージとフレームサイズの上限が大きいことによるサービス拒否
CVE-2017-16031	socket.io	GitHub Issue	Socket IDが予測可能な乱数を使用
CVE-2016-10544	uWebSockets	npm セキュリティアドバイザリ	メッセージサイズの上限が大きいことによるサービス拒否
CVE-2016-10542	NodeJS ws	npm セキュリティアドバイザリ	メッセージサイズの上限が大きいことによるサービス拒否
なし	draft-hixie-thewebsocketprotocol-76	Writeup

---

カンファレンス発表、論文、注目のブログ記事

2011

• Talking to Yourself for Fun and Profit 論文

2012

• Blackhat 2012 - Mike Shema, Sergey Shekyan, Vaagn Toukharian - Hacking with WebSockets 動画

2019

• Hacktivity 2019 - Mikhail Egorov - What’s Wrong with WebSocket APIs? Unveiling Vulnerabilities in WebSocket APIs 動画
• DerbyCon 2019 - Michael Fowl, Nick Defoe - Old Tools New Tricks Hacking WebSockets 動画

2021

• OWASP Global AppSec US 2021 - Erik Elbieh - We’re not in HTTP anymore: Investigating WebSocket Server Security ツール 論文 動画

---

WebSocketの一般的な弱点

暗号化されていないWebSocket

• Black Hills WebSocketテストガイド: リンク

クロスサイトWebSocketハイジャック（CSWSH）

• Christian SchneiderによるオリジナルのCSWSHブログ記事: リンク
• PortSwigger Web AcademyのCSWSHラボ: リンク

安全でない認証メカニズム

• Stratum Securityブログ記事: リンク
• Heroku WebSocketセキュリティ: リンク

Upgradeヘッダーを使用したリバースプロキシバイパス

• Mikhail EgorovによるHacktivity 2019の初期PoC: リンク
• MikhailのPoCに基づくJake MillerのHTTP 2スマグリングツール: リンク
• golang h2smugglerツールを紹介するAssetNoteブログ記事: リンク

DOMベースのWebSocket-URLポイズニング

• Portswiggerの要約: リンク

---

参考になるブログ記事とリソース