Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2021-41275

CSRF dans spree_auth_devise (CVE-2021-41275)

Résumé

Vulnérabilité dans spree_auth_devise (CVE-2021-41275). Des informations confidentielles peuvent être exposées. Exploitable via spree_auth_devise. Atténuation : mise à jour vers 4.0.1 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Impact

CSRF vulnerability that allows user account takeover.

All applications using any version of the frontend component of spree_auth_devise are affected if protect_from_forgery method is both:

  • Executed whether as:
    • A before_action callback (the default)
    • A prepend_before_action (option prepend: true given) before the :load_object hook in Spree::UserController (most likely order to find).
  • Configured to use :null_session or :reset_session strategies (:null_session is the default in case the no strategy is given, but rails --new generated skeleton use :exception).

That means that applications that haven't been configured differently from what it's generated with Rails aren't affected.

Thanks @waiting-for-dev for reporting and providing a patch 👏

Patches

Spree 4.3 users should update to spree_auth_devise 4.4.1
Spree 4.2 users should update to spree_auth_devise 4.2.1
Spree 4.1 users should update to spree_auth_devise 4.1.1
Older Spree version users should update to spree_auth_devise 4.0.1

Workarounds

If possible, change your strategy to :exception:

class ApplicationController < ActionController::Base
  protect_from_forgery with: :exception
end

Add the following toconfig/application.rb to at least run the :exception strategy on the affected controller:

config.after_initialize do
  Spree::UsersController.protect_from_forgery with: :exception
end

References

https://github.com/solidusio/solidus_auth_devise/se…

Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2021-41275 a été découverte dans spree_auth_devise.
Des attaquants peuvent cibler un point d'entrée spécifique comme spree_auth_devise à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées.
Action : mettez à jour spree_auth_devise vers 4.0.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « spree_auth_devise CVE-2021-41275 » sur le site de l'éditeur.

CVE-2021-41275 (spree_auth_devise) — CWE-352
Vecteur d'attaque : distant (réseau) / non authentifié
Surface d'attaque : spree_auth_devise / protect_from_forgery
Correctif : 4.0.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une CSRF (CWE-352) affecte spree_auth_devise. Les attaquants atteignent le code vulnérable via spree_auth_devise sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de spree_auth_devise. Surface d'attaque : spree_auth_devise / protect_from_forgery.

🔥 Gravité

Gravité : ?. Des informations confidentielles peuvent être exposées.

🔧 Comment corriger

Mettre à jour vers 4.0.1.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'spree_auth_devise' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で spree_auth_devise を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply patch patch 
    Upgrade spree_auth_devise to 4.0.1

    ステージング環境で 4.0.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

RubyGems spree_auth_devise
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.0.1"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus