固定された HTTP セッションクッキー

medium Nessus プラグイン ID 46201

Language:

概要

リモート Web アプリケーションは、セッション固定攻撃に脆弱である可能性があります。

説明

リモート Web アプリケーションはクッキーを使用して、認証されたユーザーを追跡します。セッションクッキーが認証前に既に存在する場合、ログインに成功した後も不変のまま残ります。つまり、サーバー側の変数のみが更新されます。

セッションクッキーは、セキュアな Web アプリケーションでは予測不能だと考えられています。HTTP クッキーを操作することが可能な場合（例えば、クライアント側の JavaScript を注入することで）、攻撃者は pseudo-random ジェネレーターを破る必要がなく、Web アプリケーションは「セッション固定」攻撃に対して脆弱です。