“Path Insecurity” – クッキー/HTTP認証のパスは信頼できるか?

3月1日に”Path Insecurity” と題するテクニカルノートが投稿されていますが、さっき試しに“Path Insecurity”をキーワードにググってみても日本語のページが一つも無いので要旨だけ書いておきます。

「クッキー、HTTP認証のPathは信頼できない」

setTimeoutを使って他のページ開くとPath設定されたクッキー（セッションID）で制御していても効果が無いです。（他のページがXSSに脆弱であればその影響を受けてしまう）URLエンコードを使った単純な攻撃でHTTP認証のPathをごまかせる。

MLではHttpOnly Cookieの攻略など最近これに関連した話題で盛り上がっていました。こちらも面白いので興味のある方はMLのアーカイブを検索してみてはいかがでしょうか。（特に共有サーバを利用されている方）

“Path Insecurity”を投稿した方が書いた別のメールには次のような文面も… IE7では直る?

Note that my %2e%2e “finding” for IE 6.0 of early 2006 was
assigned a CVE number CAN-2003-0513 on July 2003.
I suppose Microsoft didn’t find time to fix this in over 2.5
years.
So, to clarify: while I did think of the %2e%2e all by
myself, it was apparently known to the public (courtesy of
Martin O’Neal from Corsaire) for over 2 years.
And that’s what matters

.