在用户输入中使用动态替代时限制标题注入

CVE编号

CVE-2020-5216

利用情况

暂无

补丁情况

官方补丁

披露时间

2020-01-23

漏洞描述

在安全标头（RubyGem secure_headers）中，3.9.0、5.2.0和6.3.0之前的版本中存在指令注入漏洞。如果将用户提供的输入传递到append / override_content_security_policy_directives中，则可能会插入新行，从而导致有限的标头注入。在标题中看到换行符后，rails将使用原始字符串的剩余值以静默方式创建新的Content-Security-Policy标题。它将继续为每个换行符创建新的标题。此问题已在6.3.0、5.2.0和3.9.0中修复。

解决建议

厂商已发布了漏洞修复程序，请及时关注更新:
https://github.com/twitter/secure_headers/security/advisories/GHSA-w978-rmpf-qmwg

参考链接
https://github.com/twitter/secure_headers/commit/301695706f6a70517c2a90c6ef9b...
https://github.com/twitter/secure_headers/security/advisories/GHSA-w978-rmpf-qmwg

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	twitter	secure_headers	*		Up to (excluding) 3.9.0
	运行在以下环境
	应用	twitter	secure_headers	*	From (including) 5.0.0	Up to (excluding) 5.2.0
	运行在以下环境
	应用	twitter	secure_headers	*	From (including) 6.0.0	Up to (excluding) 6.3.0
	运行在以下环境
	系统	debian_10	ruby-secure-headers	*		Up to (excluding) 6.0.0-1

阿里云评分 4.9

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 越权影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID 漏洞类型 CWE-74 输出中的特殊元素转义处理不恰当（注入）