CVE-2019-10158

Nieprawidłowa ochrona przed session fixation w Infinispan (Spring Session)

CVSS 9.8v3.1pub. 2020-01-02upd. 2024-11-21

W Infinispan do wersji 9.4.14.Final wykryto błąd w implementacji ochrony przed session fixation w integracji ze Spring Session, prowadzący do nieprawidłowej obsługi sesji. Podatność posiada krytyczny poziom CVSS 9.8, co oznacza możliwość przejęcia sesji użytkownika bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

A flaw was found in Infinispan through version 9.4.14.Final. An improper implementation of the session fixation protection in the Spring Session integration can result in incorrect session handling.

🤖 Analiza AI

Jak działa

Podatność polega na nieprawidłowej implementacji mechanizmu ochrony przed session fixation (CWE-384) w komponencie integrującym Infinispan ze Spring Session. Atakujący zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, może wykorzystać błędną obsługę identyfikatorów sesji. W wyniku tego możliwe jest wymuszenie lub przewidzenie identyfikatora sesji, co prowadzi do przejęcia kontroli nad sesją innego użytkownika.

Skutki

Atakujący może przejąć sesję uwierzytelnionego użytkownika, uzyskując nieautoryzowany dostęp do jego konta i danych, a także potencjalnie wykonywać działania w jego imieniu. Przy ocenie CVSS 9.8 skutki obejmują pełne naruszenie poufności, integralności i dostępności zasobów.

Mitygacja

Należy zaktualizować Infinispan do wersji wyższej niż 9.4.14.Final, w której poprawka została wprowadzona zgodnie z referencjami producenta (pull requesty #6960 i #7025 w repozytorium GitHub). Użytkownicy Red Hat JBoss Data Grid powinni zastosować patche dostępne u producenta zgodnie z referencjami.