Vulnerabilidad en el módulo de sesión del lado del cliente en Ratpack (CVE-2021-29480)

Gravedad CVSS v3.1:

BAJA

Tipo:

CWE-330 Uso de valores insuficientemente aleatorios

Fecha de publicación:

29/06/2021

Última modificación:

02/08/2022

Descripción

Ratpack es un kit de herramientas para crear aplicaciones web. En las versiones anteriores a 1.9.0, el módulo de sesión del lado del cliente usa por defecto la hora de inicio de la aplicación como clave de firma. Esto significa que si un atacante puede determinar esta hora, y si no se usa también el cifrado (que se recomienda, pero no está activado por defecto), los datos de la sesión podrían ser manipulados por alguien con la capacidad de escribir cookies. La configuración por defecto es inapropiada para su uso en producción, ya que un reinicio de la aplicación invalida todas las sesiones y no es compatible con varios hosts, pero no se impide activamente su uso. A partir de Ratpack versión 1.9.0, el valor por defecto es un valor generado aleatoriamente de forma segura, generado en el momento de iniciar la aplicación. Como solución, proporcione una clave de firma alternativa, según la recomendación de la documentación

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 3.10 BAJA
Vector: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

3.10

Gravedad 3.x

BAJA

Vector 2.0

AV:N/AC:M/Au:S/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 3.50 BAJA
Vector: AV:N/AC:M/Au:S/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno