Podatności Mechanize

Biblioteka Mechanize jest używana do automatyzacji interakcji z witrynami. Przed wersją 2.14.1, Mechanize wysyła nagłówki poświadczeń dostarczone przez wywołującego do innego hosta po przekierowaniu HTTP. Mechanize#request_headers= jest ponownie stosowane przez Mechanize::HTTP::Agent#request_add_headers nawet po tym, jak Mechanize::HTTP::Agent#response_redirect usuwa nagłówki per-request, a listy chronionych nagłówków pomijają Proxy-Authorization i Cookie2. Atakujący, który kontroluje cel przekierowania, może przechwycić tokeny nośnika lub ciasteczka sesji dostarczone przez request_headers= lub argument nagłówków per-request, podczas gdy Mechanize#cookie_jar i Mechanize::HTTP::AuthStore nie są dotknięte. Ten problem został naprawiony w wersji 2.14.1.

Biblioteka Mechanize przed wersją 2.14.1 nieprawidłowo traktuje przekierowania jako samego pochodzenia, gdy host się zgadza, bez spójnego porównywania schematu i portu. Przekierowanie HTTPS na HTTP na tym samym hoście może wysłać nagłówki Authorization i Cookie w postaci zwykłego tekstu, a przekierowanie na inny port może wysłać nagłówek Cookie do innej usługi. Problem dotyczy nagłówków dostarczonych przez wywołującego i może ujawnić poświadczenia.

Biblioteka Mechanize przed wersją 2.14.1 nie stosuje granicy zaufania pochodzenia w Mechanize::HTTP::Agent#response_follow_meta_refresh, gdy włączona jest opcja follow_meta_refresh. Strona zawierająca meta refresh do innego pochodzenia powoduje ponowne zastosowanie nagłówków skonfigurowanych przez Mechanize#request_headers= do żądania odświeżenia, co pozwala atakującemu kontrolującemu treść w przeszukiwaniu na przechwycenie tokenów bearer lub ciasteczek sesji. Domyślna konfiguracja nie jest dotknięta, ponieważ follow_meta_refresh jest fałszywe.