Security une (s|c)ession bien transparente.

July 17th, 2003 par foxmask

un trou de sécurité concerne php sur toutes ses versions jusqu’à la 4.3.1 incluse.

la faille consiste en un cross site scripting reposant sur le SID.

la solution ; si vous ne pouvez mettre à jour votre php ; est de mettre la variable session.use_trans_sid à 0 dans le fichier php.ini.
mais alors vous devrez aussi corriger vos liens href où vous auriez ajoute ?SID=

la faille en détail

Posté dans Security | 4 Comments »

4 Reponses pour “une (s|c)ession bien transparente.”

  1. Anonyme Says:

    Euh…
    C’est pô super récent, comme news ;)

  2. foxmask Says:

    et là assez recent ? ;)
    http://www.debian.org/security/2003/dsa-351

  3. foxmask Says:

    cela dit
    une piqûre de rappel ca fait pas de mal :)

  4. Anonyme Says:

    transparent_sid
    J’ai toujours eu horreur du SID transparent. Je n’aime pas qu’un interpréteur modifie mon code (en l’occurrence HTML) . Surtout que ça ne fonctionne qu’à moitié, par exemple sur des liens effectués en Javascript il est incapable d’ajouter le SID.
    Donc franchement pour ne pas avoir de mauvaises surprises le mieux est d’ajouter le SID soi-meme dans chaque lien.

Répondre

Vous devez être identifié pour poster un commentaire.

Identification

Enregistrez-vous

SQUAD!

GCU live

[08:20:58] moid malheureux ! maintenant gaston va me faire chier pour que je fasse mule et que je la mette chez moi
[08:21:20] gaston haha
[08:21:27] gaston "c'est possible"
[08:21:44] gaston enfin, c'est pas mon groblème
[08:23:39] Vigdis gaston: bah le transport en train c'est pas en problème, c'est quand tu la déplaces que c'est lourd (hihi), faut plus qu'une occasion pour aller à Clermont :)
[08:24:11] gaston j'ai deja fait u10 dans le metro/train/30mn marche
[08:24:18] gaston c'etait.. douloureux
[08:25:27] Vigdis je connais oui :]
[08:36:03] gaston bon est-ce que je tente pour la 3e soiree d'installer uen debian jessie sans systemd...
[08:44:50] petrus_lt https://www.reddit.com/r /talesfromtechsupport/co mments/2mu34w/escalate_e scalate_escalate_unless_ there_is_wine/ #escalade, vin, gueule de bois#
--> Remaille joined #gcu.

Miiissioudaaam'

Archives:

Meta:

Hosted by:

NBS-System