PT-2020-7599 · Cgilua · Cgilua

Felipe Daragon · Publicado 2020-02-06 · Atualizado 2020-02-11 · CVE-2014-10400

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.3

Média

Vetor base

AV:N/AC:M/Au:N/C:N/I:P/A:N

Nome do software vulnerável e versões afetadas

CGILua versões 5.0.x

Descrição

A biblioteca session.lua utiliza IDs de sessão sequenciais, facilitando que invasores remotos prevejam o ID da sessão e sequestrem sessões arbitrárias.

Recomendações

Para as versões 5.0.x do CGILua, considere implementar um mecanismo seguro de geração aleatória de IDs de sessão para evitar o sequestro de sessões. Como solução temporária, considere regenerar os IDs de sessão em intervalos regulares para minimizar o risco de exploração.

Correção

Session Fixation

Enumeração de Fraquezas

CWE-384

Identificadores relacionados

CVE-2014-10400

Produtos afetados

Cgilua

Referências · 6

• https://t.me/cvenotify/837 · Publicação no Telegram
• http://securityfocus.com/archive/1/531981/100/0/threaded · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2014-10400 · Nota de Segurança
• http://syhunt.com/en/index.php?n=Advisories.Cgilua-weaksessionid · Nota
• https://t.me/cvenotify/840 · Publicação no Telegram
• http://seclists.org/fulldisclosure/2014/Apr/318 · Nota