CVE-2022-42975: Phoenix 框架在 1.6.14 版本前错误处理检查源（check_origin）通配符

漏洞概述

CVE-2022-42975 是一个影响 Phoenix 框架的高危安全漏洞。该漏洞存在于 Phoenix 1.6.14 之前 的所有版本中。具体问题位于 socket/transport.ex 文件中，涉及对 检查源（check_origin） 功能的通配符处理不当。

影响范围

• 受影响的版本：所有低于 1.6.14 的 Phoenix 版本。
• 已修复的版本：1.6.14 及更高版本。
• 注意：使用 LiveView CSRF 令牌的 LiveView 应用程序在默认情况下不受此漏洞影响。

漏洞详情

漏洞的核心在于 check_origin 功能的通配符匹配逻辑存在缺陷。check_origin 是 WebSocket 和通道连接中用于验证请求来源（Origin头）是否被允许的安全机制。当配置中使用通配符（例如指定允许的来源域）时，Phoenix 1.6.14 之前的版本未能正确执行验证，可能允许来自未经授权源的连接，从而导致 授权绕过。

严重性评级

• 严重等级：高
• CVSS 3.1 总体评分：7.5（高危）
• CVSS 向量：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
  • 攻击向量：网络
  • 攻击复杂度：低
  • 所需权限：无
  • 用户交互：无
  • 影响范围：未改变
  • 机密性影响：无
  • 完整性影响：高
  • 可用性影响：无

相关弱点

• CWE-346：来源验证错误
• CWE-863：不正确的授权

修复与参考

• 修复已包含在 Phoenix 1.6.14 版本中。
• 用户应尽快升级到该版本或更高版本以修复此漏洞。
• 相关链接：
  • NVD漏洞详情
  • GitHub修复提交
  • Phoenix 1.6.14 更新日志

元数据

• CVE ID: CVE-2022-42975
• GHSA ID: GHSA-p8f7-22gq-m7j9
• 报告者: maennchen