Vulnerabilidad en el envío o plantación de un enlace http:// en el establecimiento del atributo seguro en tokens de autorización o cookies de sesión en IBM Security Guardium Data Encryption (GDE) (CVE-2019-4686)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-311
Ausencia de cifrado en información sensible
Fecha de publicación:
26/08/2020
Última modificación:
21/07/2021
Descripción
IBM Security Guardium Data Encryption (GDE) versión 3.0.0.2, no establece el atributo seguro en tokens de autorización o cookies de sesión. Los atacantes pueden obtener los valores de las cookies mediante el envío de un enlace http:// a un usuario o mediante la plantación de este enlace en un sitio al que el usuario accede. La cookie será enviada al enlace no seguro y el atacante podrá obtener el valor de la cookie mediante el rastreo del tráfico. IBM X-Force ID: 171822
Impacto
Puntuación base 3.x
5.30
Gravedad 3.x
MEDIA
Puntuación base 2.0
5.00
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:ibm:guardium_data_encryption:*:*:*:*:*:*:*:* | 4.0.0.3 (excluyendo) | |
| cpe:2.3:a:ibm:guardium_for_cloud_key_management:*:*:*:*:*:*:*:* | 1.7.0 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página