CWE-384

Autenticar a un usuario, o establecer de otro modo una nueva sesión de usuario, sin invalidar ningún identificador de sesión existente le da a un atacante la oportunidad de robar sesiones autenticadas.

Este escenario se observa comúnmente cuando: - Una aplicación web autentica a un usuario sin invalidar primero la sesión existente, continuando así el uso de la sesión ya asociada con el usuario. - Un atacante logra forzar un identificador de sesión conocido sobre un usuario de modo que, una vez que el usuario se autentica, el atacante tiene acceso a la sesión autenticada. - La aplicación o el contenedor utilizan identificadores de sesión predecibles. En la explotación genérica de las vulnerabilidades de fijación de sesión, un atacante crea una nueva sesión en una aplicación web y registra el identificador de sesión asociado. Luego, el atacante hace que la víctima se asocie, y posiblemente se autentique, con el servidor usando ese identificador de sesión, lo que le da al atacante acceso a la cuenta del usuario a través de la sesión activa.

Consecuencias comunes

• Control de acceso → Obtener privilegios o asumir identidad

Mitigaciones

• Arquitectura y diseño: Invalide cualquier identificador de sesión existente antes de autorizar una nueva sesión de usuario.
• Arquitectura y diseño: Para plataformas como ASP que no generan nuevos valores para las cookies de sessionid, utilice una cookie secundaria. En este enfoque, establezca una cookie secundaria en el navegador del usuario con un valor aleatorio y establezca una variable de sesión con el mismo valor. Si la variable de sesión y el valor de la cookie alguna vez no coinciden, invalide la sesión y obligue
• Operación: Use un firewall de aplicaciones que pueda detectar ataques contra esta debilidad. Puede resultar beneficioso en casos en los que el código no se puede corregir (porque está controlado por un tercero), como medida de prevención de emergencia mientras se aplican medidas más completas de aseguramiento de software, o para proporcionar defensa en profundidad [REF-1481].