検出

ASP.NET のクッキーなしセッション状態が有効になっている

low Web App Scanning プラグイン ID 114610

Language:

概要

ASP.NET のクッキーなしセッション状態が有効になっている

説明

.NET Framework では、開発者がセッション ID をクッキーではなく URL に直接保存できるようにすることで、クッキーベースのセッション管理に代わる「cookieless」という機能を提供しています。この機能が有効にされると、セッションハイジャック攻撃が容易になったり、有効な URL を細工してウェブアプリケーションファイヤーウォール (WAF) やパスベースの制限などの、セキュリティメカニズムを回避したりするために悪用される可能性があります。

ソリューション

<sessionState> の設定で、「cookieless」属性の値を「UseCookies」に強制することで、.NET Cookieless 機能が無効になっていることを確認します。

参考資料

https://learn.microsoft.com/en-us/previous-versions/dotnet/articles/aa479314(v=msdn.10)

https://www.sans.org/blog/session-attacks-and-asp-net-part-2/

プラグインの詳細

深刻度: Low

ID: 114610

タイプ: remote

ファミリー: Web Applications

公開日: 2025/3/3

更新日: 2025/3/3

スキャン テンプレート: basic, full, pci, scan

リスク情報

VPR

リスクファクター: Low

スコア: 2.5

CVSS v2

リスクファクター: Medium

基本値: 6.4

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N

CVSS スコアのソース: Tenable

CVSS v3

リスクファクター: Medium

基本値: 4.2

ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N

CVSS スコアのソース: Tenable

CVSS v4

リスクファクター: Low

Base Score: 2.1

Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

CVSS スコアのソース: Tenable

参照情報