CVE-2009-3287は、Thin Web Serverのlib/thin/connection.rbにおいて、X-Forwarded-ForヘッダーをクライアントIPアドレスの決定に利用する脆弱性です。この脆弱性を悪用されると、攻撃者はIPアドレスを偽装し、自身の活動を隠蔽することが可能になります。影響を受けるバージョンはThin Web Server 1.2.3以前です。バージョン1.2.4でこの問題が修正されました。
この脆弱性は、攻撃者がX-Forwarded-Forヘッダーを改ざんすることで、サーバーが記録するIPアドレスを偽装することを可能にします。これにより、攻撃者は自身の真のIPアドレスを隠蔽し、不正な活動を追跡から逃れることができます。例えば、悪意のあるリクエストを送信した場合、サーバーは偽装されたIPアドレスを記録するため、攻撃者を特定することが困難になります。この脆弱性は、Webアプリケーションのセキュリティログの信頼性を損ない、不正アクセスや攻撃の追跡を困難にする可能性があります。攻撃者は、この脆弱性を利用して、サービス拒否攻撃（DoS）を実行したり、機密情報を盗み出したりする可能性があります。
CVE-2009-3287は、2017年10月24日に公開されました。現時点では、この脆弱性を悪用する公開されているPoC（Proof of Concept）は確認されていませんが、X-Forwarded-Forヘッダーの偽装は、他のWebアプリケーションにおいても同様の脆弱性が存在する可能性を示唆しています。CISA KEVカタログへの登録状況は不明です。
Organizations using Thin web server as a reverse proxy or load balancer, particularly those with legacy configurations that heavily rely on IP address-based access controls, are at risk. Shared hosting environments where multiple users share the same server and IP address are also vulnerable.
• ruby / server:
grep -r 'X-Forwarded-For' /opt/thin/config/*.rb | grep 'request.env["HTTP_X_FORWARDED_FOR"]='• generic web:
curl -I <target_url> | grep X-Forwarded-Fordiscovery
disclosure
patch
エクスプロイト状況
EPSS
0.48% (65% パーセンタイル)
この脆弱性への対応策として、まずThin Web Serverをバージョン1.2.4以上にアップデートすることを推奨します。アップデートが困難な場合は、X-Forwarded-Forヘッダーを信頼せず、代わりに別の信頼できる方法でクライアントIPアドレスを決定するようにサーバーの設定を変更することを検討してください。また、WAF（Web Application Firewall）を導入し、改ざんされたX-Forwarded-Forヘッダーを検出・ブロックするルールを設定することも有効です。ログ監視を強化し、異常なIPアドレスからのアクセスを検知する仕組みを構築することも重要です。
公式パッチはありません。回避策を確認するか、アップデートを監視してください。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2009-3287は、Thin Web Serverのバージョン1.2.3以前において、X-Forwarded-Forヘッダーを介してクライアントIPアドレスを決定する際に、リモート攻撃者がIPアドレスを偽装できる脆弱性です。
Thin Web Serverのバージョンが1.2.3以前を使用している場合、この脆弱性に影響を受ける可能性があります。
Thin Web Serverをバージョン1.2.4以上にアップデートしてください。
現時点では、この脆弱性を悪用する公開されているPoCは確認されていません。
このCVEに関する公式アドバイザリは、公開されていません。関連情報を検索するには、CVE IDを検索エンジンで検索してください。
Gemfile.lock ファイルをアップロードすると、影響の有無を即座にお知らせします。