Avis du CERT-FR
Objet : Vulnérabilité des cookies sécurisés dans KDE
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Divulgation de données
- Vol de session
Systèmes affectés
Tout système utilisant Konqueror en version 3.0, 3.0.1 ou 3.0.2 de KDE est vulnérable.
Les versions 2.2.2 et 3.0.3 de KDE ne sont pas vulnérables.
Résumé
Konqueror ne détecte pas le drapeau ``secure'' dans un cookie HTTP. Il transmet donc ces cookies en clair sur le réseau.
Description
Les sites internet qui se basent uniquement sur un cookie pour
l'identification de la session HTTP peuvent permettre à un utilisateur
mal intentionné de récupérer cette session, car le cookie n'est pas
chiffré avant son transfert.
Cette vulnérabilité peut aussi être utilisée pour se connecter sur un
site se basant uniquement sur un cookie pour l'identification de
l'utilisateur.
Solution
Mettre KDE à jour.
Les mises à jour sont disponibles en téléchargement sur le site de KDE
(Consultez la section Documentation).
Documentation
-
Avis #20020908-1 de KDE
http://www.kde.org/info/security/advisory-20020908-1.txt
Gestion détaillée du document
| Date | Description |
|---|---|
| 13 septembre 2002 | version initiale. |