Microsoft IIS5 "Session ID Session Marking" Patch di vulnerabilità " Elimina una vulnerabilità di sicurezza in Microsoft Internet Information Server.
Scarica ora

Microsoft IIS5 "Session ID Session Marking" Patch di vulnerabilità " Classifica e riepilogo

Microsoft IIS5 "Session ID Session Marking" Patch di vulnerabilità " Tag

Vulnerabilità del server Internet Information Server.

Microsoft IIS5 "Session ID Session Marking" Patch di vulnerabilità " Descrizione

Da Microsoft: questa patch elimina una vulnerabilità di sicurezza in Microsoft Internet Information Server che consentirebbe ad un utente dannoso di dirottare la sessione Web sicura di un altro utente in una serie molto limitata di circostanze. IIIS supporta l'uso di un cookie ID sessione per tracciare l'identificatore della sessione corrente per una sessione web. Tuttavia, ASP in IIS non supporta la creazione di cookie ID sessione sicura come definito in RFC 2109. Di conseguenza, pagine protette e non protette sullo stesso sito Web utilizzano lo stesso ID sessione. Se un utente ha avviato una sessione con una pagina Web sicura, un cookie ID sessione verrà generato e inviato all'utente, protetto da SSL. Ma se l'utente successivamente ha visitato una pagina non sicura sullo stesso sito, lo stesso cookie ID sessione sarebbe scambiata, questa volta in testo in chiaro. Se un utente malintenzionato ha avuto il controllo completo sul canale di comunicazione, potrebbe leggere il cookie ID sessione di testo in chiaro e utilizzarlo per connettersi alla sessione dell'utente con la pagina Secure. A quel punto, potrebbe adottare qualsiasi azione sulla pagina sicura che l'utente potrebbe prendere.Le condizioni in cui questa vulnerabilità potrebbe essere sfruttata è piuttosto scoraggiante. L'utente dannoso avrebbe bisogno di avere il controllo completo sulle altre comunicazioni dell'utente con il sito Web. Anche allora, l'utente dannoso non ha potuto effettuare la connessione iniziale alla pagina sicura; solo l'utente legittimo potrebbe farlo. La patch elimina la vulnerabilità aggiungendo supporto per i cookie ID sessione sicura nelle pagine Asp. (I cookie sicuri sono già supportati per tutti gli altri tipi di cookie, in tutte le altre tecnologie in IIS). Leggi le FAQ per ulteriori informazioni.

Microsoft IIS5 "Session ID Session Marking" Patch di vulnerabilità " Software correlato