クロスサイトリクエストフォージェリ(Cross site request forgeries,CSRF)は、攻撃者が、あらかじめWebページを用意し、そこに訪れたユーザのブラウザを使用し、ユーザが少し前に訪れたWebメールやWebショップのアカウントを操作する攻撃。この攻撃は、ユーザが気がつかない間に行われること、正規のWebページであっても、セキュリティが万全でない場合に何者かによって攻撃コードを埋め込まれる可能性があることに加え、ユーザにとっては被害が膨大になる可能性がある攻撃だ。
この攻撃、「Hacking CSRF Tokens using CSS History Hack」とタイトルがついており、Jeremiah Grossman氏が3年前に発見したCSSヒストリーハックをベースとしている。攻撃は、(1)同一セッション内ではトークンが同じ、あるいは、(2)同一セッション内ならば、古いフォームに使われたトークンも有効、というどちらかの条件があれば可能だ。大手IT企業のセキュリティ部をリードするInferno氏は「調査をしたところ、大手企業のWebショップなどでこの脆弱性を多数発見した」と述べており、実際、アメリカの大手家電販売社、BestBuy.comでこの脆弱性が確認されている。また、サーバにリクエストをかける必要が無いため、サーバ側では阻止できないだけでなく、悪意のあるWebページ側では、JavaScriptを使わずにCSSだけで攻撃が行えることもわかっており、ユーザーがJavaScriptを無効にしても攻撃が可能となるため、日本の開発者も至急対策を講じる必要があろう。
