HttpOnly とマークされていない Web アプリケーションセッションのクッキー

medium Nessus プラグイン ID 48432

Language:

概要

HTTP セッションクッキーは、クロスサイトスクリプティング攻撃に脆弱である可能性があります。

説明

リモート Web アプリケーションはクッキーを使用して、認証されたユーザーを追跡します。ただし、それらの 1 つ以上のクッキーは「HttpOnly」とマークされていません。これは、JavaScript などの悪意のあるクライアント側のスクリプトが、それらを読み取る可能性があることを示しています。

「HttpOnly」は、Microsoft により提案された、クロスサイトスクリプティング攻撃から保護するためのセキュリティメカニズムであり、Internet Explorer に初めて実装されました。現在のどのブラウザも、それをサポートしています。

注意：

- 場合によっては、「HttpOnly」を回避することができます。

- この属性がなくても、Web アプリケーションはクロスサイトスクリプティング攻撃に自動的に脆弱であることを示すとは限りません。

- 一部の Web アプリケーションは、クライアント側のスクリプトからセッションクッキーを操作する必要があり、「HttpOnly」属性を設置することはできません。