هذا التصحيح يحل ثغرة أمنية في ملقم Microsoft معلومات الإنترنت التي من شأنها أن تسمح لمستخدم ضار لاختطاف الجلسة ويب آمنة مستخدم آخر في إطار مجموعة محدودة جدا من الظروف.
وIIS يدعم استخدام ملف تعريف الارتباط معرف جلسة لتتبع معرف جلسة الحالي لدورة الويب. ومع ذلك، ASP في IIS لا يدعم خلق آمنة ملفات تعريف الارتباط معرف جلسة على النحو المحدد في RFC 2109. ونتيجة لذلك، الصفحات الآمنة وغير الآمنة على موقع ويب نفسه استخدام نفس معرف جلسة. إذا بدأت مستخدم جلسة مع صفحة ويب آمنة، سيتم إنشاء ملف تعريف الارتباط معرف جلسة وإرسالها إلى المستخدم، يحميها SSL. ولكن إذا زار المستخدم في وقت لاحق صفحة غير آمنة في نفس الموقع، وسيتم تبادلها نفس ملف تعريف الارتباط معرف جلسة، وهذه المرة في نص عادي. إذا كان لمستخدم ضار سيطرة كاملة على قناة الاتصالات، وقال انه يمكن قراءة النص الأصلي الكعكة ID الدورة واستخدامه للاتصال جلسة عمل المستخدم مع صفحة آمنة. عند هذه النقطة، وقال انه يمكن اتخاذ أي إجراء على صفحة آمنة يمكن أن تأخذ المستخدم.
إن الظروف التي يمكن أن تستغل هذا الضعف هي شاقة نوعا ما. ان المتطفلين حاجة الى سيطرة كاملة على الاتصالات مستخدم آخر مع موقع ويب. حتى ذلك الحين، يمكن للمستخدم ضار لا تجعل الاتصال الأولي إلى صفحة آمنة. فقط للمستخدم الشرعي يستطيع أن يفعل ذلك. التصحيح يزيل الضعف من خلال إضافة دعم لملفات تعريف الارتباط معرف جلسة آمنة في صفحات ASP. (الكوكيز الآمنة معتمدة بالفعل لجميع أنواع أخرى من الملفات، في جميع التقنيات الأخرى في IIS).
راجع الأسئلة الشائعة لمزيد من المعلومات
المتطلبات:.
ويندوز NT 4.0، ملقم معلومات إنترنت 4.0
لم يتم العثور على التعليقات