仅限 HTTP 的 Cookie 绕过
CVE ID
CVE-2015-2156
日期
2015 年 5 月 9 日
描述
在 Play 的 Cookie 处理代码中发现了一个漏洞，攻击者可能利用该漏洞绕过敏感 Cookie 上的 httpOnly 标志。
影响
任何将 Cookie 值反射回响应主体中的 Play 应用程序都容易受到此漏洞的影响。例如，如果使用 Play 的 CSRF 支持并配置了 csrf.cookie.name，使得 Play 将 csrf 令牌存储在 Cookie 中而不是默认的存储在会话中，则可能出现这种情况。
受影响的版本
- Play 2.0 - 2.3.8
解决方法
升级到 netty 3.9.8。例如
libraryDependencies += "io.netty" % "netty" % "3.9.8.Final"
修复
Play 2.3.9 中已修复此问题。
CVSS 指标 (更多信息)
- 基础：4.0
AV:N/AC:H/Au:N/C:P/I:P/A:N - 时间：3.1
E:POC/RL:OF/RC:C - 环境：1.1
CDP:ND/TD:L/CR:H/IR:H/AR:ND
环境评分假设典型的互联网系统。您组织的实际环境评分可能会有所不同。
致谢
感谢 LinkedIn 的 Roman Shafigullin、Luca Carettoni 和 Mukul Khullar 发现此漏洞。