Spree Auth Devise の脆弱性により、CSRF の弱点を悪用して認証をバイパスできる

このCSRF脆弱性は、攻撃者が認証済みユーザーになりすますことを可能にします。攻撃者は、ユーザーが意図しない操作を実行させるために、悪意のあるリクエストを仕掛けることができます。例えば、パスワードの変更、個人情報の更新、注文の作成など、ユーザーアカウントに対するあらゆる操作が攻撃者に実行される可能性があります。この脆弱性は、特にprotectfromforgeryメソッドが特定の条件下で設定されている場合に深刻な影響を及ぼします。攻撃者は、ユーザーのセッションを乗っ取り、機密情報にアクセスしたり、不正な取引を実行したりする可能性があります。

Applications built with Ruby on Rails that utilize the Spree Auth Devise gem, particularly those relying on the frontend component, are at risk. Specifically, applications using default configurations or those that have not explicitly configured protectfromforgery with robust settings are highly vulnerable. Shared hosting environments where application configurations are less controllable also present a heightened risk.

• ruby / server:

# Check for Spree Auth Devise version
require 'spree_auth_devise'
puts Spree::Auth::Devise.version

• ruby / server:

# Inspect application configuration for protect_from_forgery settings
# Look for configurations using :null_session or :reset_session

• generic web:

# Check for suspicious requests in access logs
# Look for requests with unexpected parameters or origins
grep -i 'spree_auth_devise' /var/log/nginx/access.log

1. 2021-11-18Disclosure

   disclosure

2. 2021-11-18Patch

   patch

1. 予約済み2021-09-15
2. 公開日2021-11-18
3. 更新日2026-03-13
4. EPSS 更新日2026-04-02

この脆弱性への主な対策は、Spree Auth Deviseをバージョン4.4.1以降にアップグレードすることです。アップグレードが一時的にアプリケーションの動作に影響を与える可能性がある場合は、ロールバック手順を事前に準備しておくことを推奨します。また、Webアプリケーションファイアウォール（WAF）やリバースプロキシを使用して、CSRF攻撃を軽減することも有効です。WAFのルールを設定し、不審なリクエストをブロックすることで、攻撃の影響を最小限に抑えることができます。さらに、Spreeアプリケーションの構成を見直し、protectfromforgeryメソッドの設定が適切であることを確認してください。