WSTG Issue 1005 — SameSiteクッキーに関するコンテンツのレビューと更新提案

概要

• 日付: 2026-05-29 (最終更新)
• Issue番号: #1005
• ステータス: Open
• URL: https://github.com/OWASP/wstg/issues/1005

変更内容の要約

WSTGガイド内のSameSiteクッキーに関する現状の記述が、最新のブラウザ動作と一致していないとの指摘。以下の3つの領域で問題が特定されている：

1. Testing Cookie Attributesガイド: 「大多数」のブラウザがデフォルトでLaxを採用していると記述されているが、FirefoxとSafariではこの記述が正しくない
2. CSRFガイド: SameSiteに言及しておらず、提示されているPoCが一部のブラウザではSameSiteによって機能しない
3. XSSI（クロスサイトスクリプトインクルージョン）ガイド: 同様にSameSiteに言及しておらず、PoCがブラウザのSameSite動作により機能しない可能性

セキュリティ関連の詳細

• 影響カテゴリ: CSRF、クッキーセキュリティ、XSSI
• リスクレベル: 中 — テスト手順の精度に関わる問題。実際の脆弱性ではなくガイドの正確性に関するもの
• ブラウザ実装の違い:
  • Chrome 80+ : デフォルト SameSite=Lax
  • Firefox : 異なるデフォルト動作
  • Safari : 異なるデフォルト動作
• テストへの影響: WSTG準拠のテストが、ブラウザのSameSite実装により偽陰性を生む可能性

技術的考察

1. SameSiteのデフォルト値の browser 差異:

   • Chrome 80+ (2020年2月〜): SameSite未指定 → Lax
   • Firefox 129+ (2024年9月〜): SameSite未指定 → Lax
   • Safari 16.4+ (2023年3月〜): SameSite未指定 → Lax
   • ※Issue投稿時点のバージョン差異が指摘の背景にある可能性

2. CSRFテストへの影響:

   • 従来のCSRF PoCはSameSite=Lax环境下では機能しないケースがある
   • テストガイドはSameSiteを考慮した代替攻撃手法を含める必要がある

3. XSSIへの影響:

   • SameSite属性がスクリプトインクルージョン経由のクッキー送信に影響

元のURL

https://github.com/OWASP/wstg/issues/1005