製品・ソフトウェアに関する情報

JVN脆弱性詳細

Thin Web サーバの lib/thin/connection.rb における IP アドレスをなりすまされる脆弱性

Title	Thin Web サーバの lib/thin/connection.rb における IP アドレスをなりすまされる脆弱性
Summary	Thin Web サーバの lib/thin/connection.rb は、クライアントの IP アドレスの決定を X-Forwarded-For ヘッダに頼るため、IP アドレスをなりすまされる、および活動を隠される脆弱性が存在します。
Possible impacts	第三者により、変更された X-Forwarded-For ヘッダを介して、IP アドレスをなりすまされる、およびアクティビティを隠される可能性があります。
Solution	ベンダ情報および参考情報を参照して適切な対策を実施してください。
Publication Date	Sept. 22, 2009, midnight
Registration Date	Sept. 25, 2012, 5:27 p.m.
Last Update	Sept. 25, 2012, 5:27 p.m.

Affected System

macournoyer

thin 1.2.4 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2009-3287	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3287
National Vulnerability Database (NVD)
2	CVE-2009-3287	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2009-3287

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-20	https://jvndb.jvn.jp/ja/cwe/CWE-20.html

ベンダー情報

No	Name	URL
macournoyer
1	Thin	http://code.macournoyer.com/thin/

Change Log

No	Changed Details	Date of change
0	[2012年09月25日] 掲載	Feb. 17, 2018, 10:37 a.m.

NVD Vulnerability Information

CVE-2009-3287

Summary	lib/thin/connection.rb in Thin web server before 1.2.4 relies on the X-Forwarded-For header to determine the IP address of the client, which allows remote attackers to spoof the IP address and hide activities via a modified X-Forwarded-For header.
Publication Date	Sept. 22, 2009, 7:30 p.m.
Registration Date	Jan. 29, 2021, 1:23 p.m.
Last Update	Sept. 22, 2009, 7:30 p.m.

Affected software configurations

Related information, measures and tools

No	URL	refsource	タグ
1	http://github.com/macournoyer/thin/blob/master/CHANGELOG	CONFIRM
2	http://github.com/macournoyer/thin/commit/7bd027914c5ffd36bb408ef47dc749de3b6e063a	CONFIRM	Patch
3	http://www.openwall.com/lists/oss-security/2009/09/12/1	MLIST

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-20	不適切な入力確認	https://cwe.mitre.org/data/definitions/20.html