@fastify/passport — это порт библиотеки аутентификации passport для экосистемы Fastify. Приложения, использующие `@fastify/passport` в затр…
@fastify/passport — это порт библиотеки аутентификации passport для экосистемы Fastify. Приложения, использующие `@fastify/passport` в затронутых версиях для аутентификации пользователей в сочетании с `@fastify/session` в качестве базового механизма управления сеансами, уязвимы для атак с фиксацией сеанса со стороны сетевых и односайтовых злоумышленников. Приложения fastify используют библиотеку `@fastify/passport` для аутентификации пользователей. Вход в систему и проверка пользователя выполняются функцией `authenticate`. При выполнении этой функции `sessionId` сохраняется между предварительным входом в систему и аутентифицированным сеансом. Сетевые и односайтовые злоумышленники могут перехватить сеанс жертвы, подбросив действительный файл cookie `sessionId` в браузер жертвы и дождавшись, пока жертва войдет на веб-сайт. В качестве решения в новых версиях `@fastify/passport` `sessionId` регенерируется при входе в систему, что предотвращает обновление управляемого злоумышленником файла cookie предварительного сеанса до аутентифицированного сеанса. Пользователям рекомендуется выполнить обновление. Известных обходных путей для этой уязвимости нет.
Аутентификация пользователя или иное установление нового сеанса без аннулирования существующего идентификатора сессии предоставляет злоумышленнику возможность похитить аутентифицированные сессии.
https://cwe.mitre.org/data/definitions/384.html →Открыть в коллекции CWE →Нет описания.
https://capec.mitre.org/data/definitions/21.html →Открыть в коллекции CAPEC →Данная атака основана на использовании HTTP-cookie для хранения учётных данных, сведений о состоянии и других критически важных данных в клиентских системах. Существует несколько различных форм этой атаки. Первая форма предполагает доступ к HTTP-cookie с целью извлечения потенциально конфиденциальных данных, содержащихся в них. Вторая форма — перехват этих данных при их передаче от клиента к серверу. Перехваченная информация затем используется злоумышленником для имитации удалённого пользователя/сессии. Третья форма — модификация содержимого cookie злоумышленником перед его отправкой обратно серверу. В этом случае злоумышленник стремится убедить целевой сервер работать на основе этих фальсифицированных данных.
https://capec.mitre.org/data/definitions/31.html →Открыть в коллекции CAPEC →В обстоятельствах, когда приложение хранит важные данные на стороне клиента в токенах (cookie-файлах, URL, файлах данных и т. п.), этими данными можно манипулировать. Если клиентские или серверные компоненты приложения повторно интерпретируют эти данные как токены аутентификации или данные (например, цены на товары в магазине или информацию о кошельке), то даже непрозрачная манипуляция этими данными может принести результат злоумышленнику. В данном шаблоне злоумышленник подрывает допущение о том, что клиентские токены были надлежащим образом защищены от подделки с помощью шифрования или запутывания.
https://capec.mitre.org/data/definitions/39.html →Открыть в коллекции CAPEC →Данная атака направлена на предсказуемые идентификаторы сеанса с целью получения привилегий. Злоумышленник может предсказать идентификатор сеанса, используемый во время транзакции, и применить его для подделки личности и перехвата сеанса.
https://capec.mitre.org/data/definitions/59.html →Открыть в коллекции CAPEC →Данная атака направлена на повторное использование действительного идентификатора сеанса для подделки личности в целевой системе и получения привилегий. Злоумышленник пытается повторно использовать похищенный идентификатор сеанса, применявшийся ранее в транзакции, для подделки личности и перехвата сеанса. Другое название этого типа атаки — воспроизведение сеанса.
https://capec.mitre.org/data/definitions/60.html →Открыть в коллекции CAPEC →Злоумышленник вынуждает клиента установить сеанс с целевым программным обеспечением, используя идентификатор сеанса, предоставленный злоумышленником. После успешной аутентификации пользователя в целевом программном обеспечении злоумышленник использует (теперь уже привилегированный) идентификатор сеанса в собственных транзакциях. Данная атака эксплуатирует тот факт, что целевое программное обеспечение либо полагается на идентификаторы сеанса, генерируемые клиентом, либо сохраняет прежние идентификаторы сеанса после повышения привилегий.
https://capec.mitre.org/data/definitions/61.html →Открыть в коллекции CAPEC →Злоумышленник создаёт ложные, но функционирующие учётные данные сессии для получения или захвата доступа к сервису. Учётные данные сессии позволяют пользователям идентифицировать себя в сервисе после первоначальной аутентификации, не отправляя аутентификационную информацию (как правило, имя пользователя и пароль) с каждым сообщением. Если злоумышленник способен подделать действительные учётные данные сессии, он может обойти аутентификацию или воспользоваться сессией какого-либо аутентифицированного пользователя. Данная атака отличается от атак с повторным использованием идентификатора сессии и перехвата сессии тем, что в последних злоумышленник использует предыдущие или существующие учётные данные без изменений, тогда как при подделке злоумышленник должен создать собственные учётные данные, хотя они могут быть основаны на ранее наблюдавшихся учётных данных.
https://capec.mitre.org/data/definitions/196.html →Открыть в коллекции CAPEC →