PT-2020-18302 · Hex · Pow

Anschultzer · Publicado 2020-01-09 · Atualizado 2022-04-12 · CVE-2020-5205

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Pow (pacote Hex) anteriores à 1.0.16

Descrição

O uso de Plug.Session em Pow.Plug.Session está sujeito a ataques de fixação de sessão caso seja utilizado um armazenamento de sessão persistente para Plug.Session, como o Redis ou um banco de dados. Este problema não afeta o armazenamento de cookies, que é comumente usado em aplicativos Phoenix.

Recomendações

Para versões anteriores à 1.0.16, chame Plug.Conn.configure session(conn, renew: true) periodicamente e após alterações de privilégios para mitigar o problema. Considere escrever um plug de autorização personalizado em que o método create/3 retorne o conn somente após a chamada de Plug.Conn.configure session/2. Atualize para a versão 1.0.16 ou posterior para resolver o problema.

Correção

Session Fixation

Enumeração de Fraquezas

CWE-384

Identificadores relacionados

CVE-2020-5205

GHSA-V2WF-C3J6-WPVW

Produtos afetados

Pow

Referências · 7

• https://github.com/danschultzer/pow/security/advisories/GHSA-v2wf-c3j6-wpvw · Nota
• https://github.com/danschultzer/pow/blob/master/CHANGELOG.md#v1016-2020-01-07 · Nota
• https://github.com/danschultzer/pow/commit/578ffd3d8bb8e8a26077b644222186b108da474f · Correção
• https://github.com/danschultzer/pow · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-5205 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-v2wf-c3j6-wpvw · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-5205 · Aviso do Fabricante