Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2021-41274

CSRF dans solidus_auth_devise (CVE-2021-41274)

Résumé

Vulnérabilité dans solidus_auth_devise (CVE-2021-41274). Des informations confidentielles peuvent être exposées. Exploitable via solidus_auth_devise. Atténuation : mise à jour vers 2.5.4 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Impact

CSRF vulnerability that allows user account takeover.

All applications using any version of the frontend component of solidus_auth_devise are affected if protect_from_forgery method is both:

  • Executed whether as:
    • A before_action callback (the default)
    • A prepend_before_action (option prepend: true given) before the :load_object hook in Spree::UserController (most likely order to find).
  • Configured to use :null_session or :reset_session strategies (:null_session is the default in case the no strategy is given, but rails --new generated skeleton use :exception).

That means that applications that haven't been configured differently from what it's generated with Rails aren't affected.

Patches

Users should promptly update to solidus_auth_devise version 2.5.4.

Workarounds

A couple of options:

  • If possible, change your strategy to :exception:

    class ApplicationController < ActionController::Base
  protect_from_forgery with: :exception
end

  • Add the following to config/application.rb to at least run the :exception strategy on the affected controller:

    config.after_initialize do
  Spree::UsersController.protect_from_forgery with: :exception
end

  • We've also released new Solidus versions monkey patching solidus_auth_devise with the quick fix. Those versions are v3.1.3, v.3.0.3 & v2.11.12. See [GHSA-5629-8855-gf4g](https://github.com/solidusio/solidus/security/adviso…

Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2021-41274 a été découverte dans solidus_auth_devise.
Des attaquants peuvent cibler un point d'entrée spécifique comme solidus_auth_devise à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées.
Action : mettez à jour solidus_auth_devise vers 2.5.4 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « solidus_auth_devise CVE-2021-41274 » sur le site de l'éditeur.

CVE-2021-41274 (solidus_auth_devise) — CWE-352
Vecteur d'attaque : distant (réseau) / non authentifié
Surface d'attaque : solidus_auth_devise / protect_from_forgery / before_action / prepend_before_action
Correctif : 2.5.4 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une CSRF (CWE-352) affecte solidus_auth_devise. Les attaquants atteignent le code vulnérable via solidus_auth_devise sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de solidus_auth_devise. Surface d'attaque : solidus_auth_devise / protect_from_forgery / before_action / prepend_before_action.

🔥 Gravité

Gravité : ?. Des informations confidentielles peuvent être exposées.

🔧 Comment corriger

Mettre à jour vers 2.5.4.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'solidus_auth_devise' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で solidus_auth_devise を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply patch patch 
    Upgrade solidus_auth_devise to 2.5.4

    ステージング環境で 2.5.4 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

RubyGems solidus_auth_devise
[{"type":"ECOSYSTEM","events":[{"introduced":"1.0.0"},{"fixed":"2.5.4"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus