Vulnerabilidad en la configuración de las sesiones del lado del cliente en valores de cookies en Ratpack (CVE-2021-29481)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-312 Almacenamiento de información sensible en texto claro

Fecha de publicación:

29/06/2021

Última modificación:

07/07/2021

Descripción

Ratpack es un kit de herramientas para crear aplicaciones web. En las versiones anteriores a 1.9.0, la configuración por defecto de las sesiones del lado del cliente resulta en datos no encriptados, pero firmados, que han sido establecidos como valores de cookies. Esto significa que si se introduce algo confidencial en la sesión, podría ser leído por alguien con acceso a las cookies. Para que esto sea una vulnerabilidad, algún tipo de dato confidencial tendría que ser almacenado en la sesión y la cookie de sesión tendría que filtrarse. Por ejemplo, las cookies no están configuradas con httpOnly y una vulnerabilidad de tipo XSS adyacente dentro del sitio permitió la captura de las cookies. A partir de la versión 1.9.0, se usa una clave de firma generada aleatoriamente de forma segura. Como solución, se puede proporcionar una clave de cifrado, según la recomendación de la documentación

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:N/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno