Denne oppdateringen korrigerer et sikkerhetsproblem i Microsoft Internet Information Server som ville tillate en angriper å kapre en annen brukers sikker Web-sesjon under et svært begrenset sett av omstendigheter.
IIS støtter bruk av en session ID cookie for å spore den gjeldende økten identifikator for en Web-økt. Men ASP i IIS støtter ikke opprettelsen av sikre session ID cookies som definert i RFC 2109. Som et resultat, sikre og usikre sider på samme nettsted bruke samme session ID. Hvis en bruker initiert en sesjon med en sikker webside, ville en session ID cookie bli generert og sendt til brukeren, beskyttet av SSL. Men hvis brukeren senere besøkte en usikret side på samme sted, ville det samme session ID cookie byttes, denne gangen i klartekst. Hvis en angriper hadde full kontroll over kommunikasjonskanal, kunne han lese klartekst session ID cookie og bruke den til å koble til brukerens session med den sikre siden. På dette tidspunktet kunne han ta noen handling på den sikre siden som brukeren kan ta.
De forholdene som denne sårbarheten kan utnyttes er ganske skremmende. Den angriper trenger å ha full kontroll over den andre brukerens kommunikasjon med nettstedet. Selv da den ondsinnede brukeren ikke kunne gjøre den innledende tilkoblingen til sikker side; bare den legitime brukeren kan gjøre det. Plasteret fjerner sikkerhetsproblemet ved å legge til støtte for sikker session ID cookies i ASP-sider. (Secure cookies allerede støttes for alle andre typer cookies, under alle andre teknologier i IIS). .
Se FAQ for mer informasjon
Krav
Windows NT 4.0, Internet Information Server 4.0
Kommentarer ikke funnet