CVE-2024-8643

Session Fixation polega na tym, że atakujący jest w stanie narzucić ofierze z góry znany identyfikator sesji, a aplikacja akceptuje go bez wygenerowania nowego tokenu po zalogowaniu. Gdy użytkownik uwierzytelni się przy użyciu ustalonego wcześniej identyfikatora, atakujący może posłużyć się tym samym identyfikatorem, aby uzyskać dostęp do sesji ofiary. Podatność może być dodatkowo wykorzystana do przeprowadzenia ataków Brute Force na tokeny sesji lub do Session Hijacking.

Atakujący może w pełni przejąć sesję uwierzytelnionego użytkownika, uzyskując nieautoryzowany dostęp do jego konta oraz danych przetwarzanych przez aplikację ValeApp. W zależności od uprawnień przejętego konta możliwe jest naruszenie poufności, integralności i dostępności danych.

Należy zaktualizować ValeApp do wersji v2.0.0 lub nowszej, w której podatność została usunięta. Zaleca się również unieważnienie wszystkich aktywnych sesji użytkowników po wdrożeniu aktualizacji oraz weryfikację konfiguracji zarządzania sesjami zgodnie z wytycznymi producenta dostępnymi w referencjach.

Oceanicsoft ValeApp we wszystkich wersjach przed v2.0.0.

Podatność została zgłoszona przez tureckie centrum reagowania na incydenty komputerowe (USOM/TR-CERT) pod identyfikatorem TR-24-1562.