ادعای یک پژوهشگر: دور زدن SameSite Lax در کروم هنوز ممکن است
- پژوهشگری با نام RivenX173 می‌گوید در ۸ نسخه کروم، پنجره ۱۲۰ ثانیه‌ای کوکی‌های Lax پیش‌فرض را آزمایش کرده و هنوز فعال دیده است.
- PortSwigger در ۱۲ اوت، یک آزمایشگاه CSRF و بخش نظری مرتبط را از آکادمی خود برداشت.
- به گفته او، پشتیبانی PortSwigger دلیل را تغییرات کروم ۱۵۰ اعلام کرده بود، اما در یادداشت‌های انتشار آن نسخه اشاره‌ای ندیده است.
- این نتیجه آزمایش شخصی یک پژوهشگر است و هنوز تأیید مستقل یا پاسخ رسمی ندارد.
یک پژوهشگر امنیت وب که خود را RivenX173 معرفی می‌کند، در نوشته‌ای در هکرنون ادعا کرده رفتاری در کروم که PortSwigger آن را دلیل حذف یکی از آزمایشگاه‌های آموزشی‌اش اعلام کرده بود، هنوز در آزمایش‌های او دیده می‌شود. این روایت از یک نفر است و باید با همین احتیاط خوانده شود.
ماجرا چه بود؟
به گفته نویسنده، در ۱۱ اوت ۲۰۲۶ آخرین آزمایشگاه بخش CSRF در Web Security Academy، یعنی «SameSite Lax bypass via cookie refresh»، اجرا نمی‌شد. پشتیبانی PortSwigger در پاسخ نوشته بود مرورگر قربانی در این آزمایشگاه به کروم ۱۵۰ ارتقا یافته و آزمایشگاه روی مرورگرهای جدید قابل حل نیست. به نوشته او، کمتر از ۲۴ ساعت بعد آزمایشگاه و بخش نظری «Bypassing SameSite Lax restrictions with newly issued cookies» از آکادمی حذف شد و تعداد آزمایشگاه‌ها از ۲۷۴ به ۲۷۳ رسید.
رفتار مورد بحث
در کروم، کوکی‌ای که ویژگی SameSite نداشته باشد به‌طور پیش‌فرض Lax تلقی می‌شود. برای جلوگیری از اختلال در ورود یکپارچه (SSO)، کروم در ۱۲۰ ثانیه نخست پس از صدور چنین کوکی، محدودیت Lax را روی درخواست‌های POST سطح‌بالا اعمال نمی‌کند. این استثنا فقط برای کوکی‌های Lax پیش‌فرض است و شامل کوکی‌هایی که صریحاً SameSite=Lax دارند نمی‌شود.
آزمایش نویسنده
- او دو سایت کوچک پایتونی ساخت؛ یکی نقش سایت دارای کوکی و دیگری نقش سایت مهاجم را داشت
- آزمایش را روی ۸ نسخه کروم، از ۱۴۱ تا ۱۵۵، انجام داد و می‌گوید نتیجه در همه یکسان بود
- کوکی در ۱۲۰ ثانیه نخست همراه درخواست ارسال شد و بعد از آن نه
- با تازه‌سازی مقدار کوکی، پنجره ۱۲۰ ثانیه‌ای دوباره آغاز شد
- در یادداشت‌های انتشار کروم ۱۵۰ هم تغییری درباره رفتار کوکی‌ها پیدا نکرد
نویسنده محدودیت‌هایی را هم پذیرفته است: خود را توسعه‌دهنده حرفه‌ای نمی‌داند، گاهی هنگام جابه‌جایی بین دو سایت آزمایشی خطایی دیده که علتش را نمی‌داند و ممکن است چیزی را از قلم انداخته باشد.
پاسخ PortSwigger
او ۶ سپتامبر دوباره به PortSwigger نوشت. پشتیبانی ۸ سپتامبر اعلام کرد درخواست را به تیم توسعه فرستاده و ۲۲ سپتامبر هم گفت زمان مشخصی برای پاسخ ندارد. نویسنده تأکید می‌کند PortSwigger را به خطا متهم نمی‌کند و حذف یک آزمایشگاه را حق این شرکت می‌داند، اما می‌گوید دلیل حذف بخش نظری را نمی‌داند. تا زمان نوشتن این خبر، پاسخ رسمی دیگری از این شرکت یا گوگل در نوشته او نیامده است.
منبع: هکرنون، نوشته RivenX173
