原文

ResourceIsolationRequestCycleListenerは、リソース隔離ポリシーが別のオリジンからのものであると判断したリクエストを拒否することにより、Wicketアプリケーションをクロスサイトリクエストフォージェリから保護します。そのデフォルトポリシーであるFetchMetadataResourceIsolationPolicyは、静的リソースを保護するために作成されたリファレンス実装から派生したものであり、ページ上のアクションを保護する場合には安全でない2つの許容を継承しています。 * すべての「シンプルなトップレベルナビゲーション」が許可されていました。Sec-Fetch-Mode: navigateを含み、Sec-Fetch-Destがobjectでもembedでもない任意のGETリクエストは、Sec-Fetch-Siteの値が何であれ（クロスサイトを含む）許可されていました。Wicketはコンポーネントリスナー（Link.onClick()、フォーム送信、ビヘイビアコールバック）を通常のGETナビゲーション経由で呼び出すため、攻撃者が制御するページが被害者のブラウザをリスナーURLへナビゲートさせ、被害者の認証済みセッション内でリスナーを実行させることが可能でした。ブラウザはSameSite属性が設定されていない場合の実質的なデフォルトであるSameSite=LaxクッキーをクロスサイトのトップレベルGETナビゲーションで送信するため、被害者のセッションクッキーがリクエストに含まれていました。 * Sec-Fetch-Site: same-siteは無条件に許可されていました。この値は同じ登録可能ドメインとスキームを意味しますが異なるオリジンであり、すなわち別のサブドメインまたは別のポートを指します。したがって、任意の兄弟オリジンは任意のメソッドで任意のリスナーを呼び出すことができ（POSTフォーム送信も含む）、同じサイト内リクエストではSameSiteにかかわらず常にクッキーが送信されます。サブドメインの乗っ取り、委譲されたユーザーコンテンツ、またはサイト内の他の場所におけるXSSを介して得られた敵対的な兄弟オリジンは、認証済みユーザーとして行動できます。ユーザーはこの問題を修正したバージョン9.24.0または10.11.0へのアップグレードを推奨します。影響を受けるバージョンは以下のとおりです。 * Apache Wicket 9.1.0から9.23.0まで * Apache Wicket 10.0.0から10.10.0まで 影響を受けないバージョンは以下のとおりです。 9.1.0より古いすべてのリリース: * Apache Wicket 8.x（8.0.0から8.17.0まで）。8.x系にはリソース隔離クラスは存在せず、Origin/RefererベースのCsrfPreventionRequestCycleListenerのみが提供されています。8.x系の任意のリリースに修正は必要ありません。 * Apache Wicket 9.0.0。ResourceIsolationRequestCycleListenerおよびFetchMetadataResourceIsolationPolicyはWICKET-6786により導入され、最初に9.1.0（2020-10-07リリース）で出荷されました。