Denne patch fjerner en sårbarhed sikkerhed i Microsoft Internet Information Server, der ville tillade en hacker at kapre en anden brugers sikker Web-session under et meget begrænset sæt af omstændigheder.
IIS understøtter brugen af en session-id cookie til at spore den aktuelle session id for en Web session. Men ASP i IIS ikke støtte oprettelsen af sikre session ID-cookies, som defineret i RFC 2109. Som et resultat, sikre og ikke-sikre sider på samme web-stedet anvender samme session id. Hvis en bruger igangsat en session med en sikker webside, vil en session ID cookie blive genereret og sendt til brugeren, er beskyttet af SSL. Men hvis brugeren besøgte efterfølgende en ikke-sikker side på samme sted, ville den samme session ID cookie udveksles, denne gang i klartekst. Hvis en ondsindet bruger havde fuldstændig kontrol over kommunikationskanal, kunne han læse alm session id cookie og bruge den til at oprette forbindelse til brugerens session med den sikre side. På det tidspunkt, kunne han foretage sig noget på den sikre side, som brugeren kan tage.
De betingelser, hvorunder denne sårbarhed kan udnyttes er temmelig skræmmende. Den ondsindet bruger skulle have fuldstændig kontrol over den anden brugers kommunikation med webstedet. Selv da kunne ondsindet bruger ikke den første tilslutning til det sikre side; kun den legitime bruger kunne gøre det. Plasteret fjerner sårbarheden ved at tilføje understøttelse af sikker session ID cookies i ASP-sider. (Secure cookies allerede understøttes til alle andre typer af cookies, under alle andre teknologier i IIS). .
Se FAQ for mere information
Krav :
Windows NT 4.0, Internet Information Server 4.0
Kommentarer ikke fundet