水無月ばけらのえび日記

脆弱性でしょう。referrer に限らず、これができるならもっと危険なことができるわけですから。元の advisory にそう書いてありますよね?

元の advisory とはこれでしょうか?

http://www.rapid7.com/advisories/R7-0026.jsp

(セキュリティホールmemo経由)

Adobeは脆弱性と認識していてBETA version 9.0.18d60では修正済みだそうです。

>http://www.rapid7.com/advisories/R7-0026.jsp

>(セキュリティホールmemo経由)

>Adobeは脆弱性と認識していてBETA version 9.0.18d60では修正済みだそうです。

　情報どうもです。

　であれば、ウェブアプリケーション側の処理として Refererチェックが 根本的に駄目という話ではなくて、

・脆弱性がある Flash を使っていると危険なので(当たり前)、アップデートか提供され次第アップデートすることが望ましい。

・ウェブアプリケーション側で脆弱な Flash を使っているユーザに配慮するのであれば、Refererチェックのみに依存した CSRF 対策は望ましくない。

　……という感じになりますね。

脆弱な Flash を使っているユーザに配慮する場合に、どうすればCSRF 対策が可能ですか？

>脆弱な Flash を使っているユーザに配慮する場合に、どうすればCSRF 対策が可能ですか？

　攻撃者が知りえない値を送信させる、というタイプの対策は HTTP要求ヘッダの改竄では突破できないので、問題の Flash の脆弱性の影響は受けないはずです。セッション追跡パラメータを hidden で渡す方法 (いわゆる高木方式)や、旧パスワードを入力させる方法などですね。

　もちろん、今挙げられている問題以外に脆弱性があるという話であれば、そういった対策が突破される可能性もあります。