Informazioni sul CVE-2024-24823
graylog2-server Session Fixation vulnerability through cookie injection
CWE ID: CWE-384
Base Score (CVSS): N/A
CVE: CVE-2024-24823
Descrizione: Graylog è una piattaforma di gestione log gratuita e aperta. Dal version 4.3.0 in avanti e prima di versioni 5.1.11 e 5.2.4, reautenticare con un cookie di sessiona esistente avrebbe riutilizzato quel cookie di sessione, anche se per credenziali diverse. In questo caso, la sessione preesistente potrebbe essere utilizzata per ottenere un accesso elevato a una sessione di login Graylog esistente, se l’utente malintenzionato riusciva a iniettare il suo cookie di sessione in un altro browser. La complessità di tale attacco è alta, perché richiede la presentazione di una schermata di login falsa e l’iniezione di un cookie di sessione in un browser esistente, potenzialmente tramite un attacco di scripting cross-site. Non è stato scoperto alcun tale attacco. Graylog 5.1.11 e 5.2.4, e qualsiasi versione del branch di sviluppo 6.0, contengono patch per non riutilizzare le sessioni in qualsiasi circostanza. Sono disponibili alcuni workaround. Utilizzando una scadenza di sessione breve e un logout esplicito di sessioni non utilizzate, si può limitare il vettore di attacco. Questa vulnerabilità è non patchata, ma relativamente difficile da sfruttare. Un proxy potrebbe essere utilizzato per eliminare il cookie di autenticazione per l’URL di Graylog `/api/system/sessions` per il server, poiché è l’unico vulnerabile.”
Vettore di attacco CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:N
Punteggio CVSS
Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.
Riassunto: Accesso: Network, Privilegi: High, Interazione utente: Required, Confidenzialità: High, Integrità: High, Disponibilità: None.
Dettaglio del Vettore
| Metrica | Valore | Significato | Descrizione |
|---|---|---|---|
| Attack Vector (AV) | N | Network | L’attacco può essere eseguito da remoto attraverso la rete. |
| Attack Complexity (AC) | H | High | L’attacco richiede condizioni particolari o avanzate. |
| Privileges Required (PR) | H | High | Richiede privilegi elevati. |
| User Interaction (UI) | R | Required | È richiesta l’interazione di un utente. |
| Scope (S) | U | Unchanged | Il raggio d’azione non cambia. |
| Confidentiality Impact (C) | H | High | Grave impatto sulla riservatezza. |
| Integrity Impact (I) | H | High | Grave impatto sull’integrità. |
| Availability Impact (A) | N | None | Nessun impatto sulla disponibilità. |
Riferimenti esterni
- https://github.com/Graylog2/graylog2-server/security/advisories/GHSA-3xf8-g8gr-g7rh
- https://github.com/Graylog2/graylog2-server/commit/1596b749db86368ba476662f23a0f0c5ec2b5097
- https://github.com/Graylog2/graylog2-server/commit/b93a66353f35a94a4e8f3f75ac4f5cdc5a2d4a6a
Prodotti interessati
- Graylog2 – graylog2-server
Relazioni con altri prodotti
Produttore:Graylog2
Prodotto: graylog2-server
Anno: 2024
CWE: CWE-384
CVSS: 0.0