S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 13 septembre 2002
N° CERTA-2002-AVI-208
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité des cookies sécurisés dans KDE

Gestion du document

Référence CERTA-2002-AVI-208
Titre Vulnérabilité des cookies sécurisés dans KDE
Date de la première version13 septembre 2002
Date de la dernière version13 septembre 2002
Source(s) Avis #20020908-1 de KDE

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Divulgation de données
  • Vol de session

Systèmes affectés

Tout système utilisant Konqueror en version 3.0, 3.0.1 ou 3.0.2 de KDE est vulnérable.
Les versions 2.2.2 et 3.0.3 de KDE ne sont pas vulnérables.

Résumé

Konqueror ne détecte pas le drapeau ``secure'' dans un cookie HTTP. Il transmet donc ces cookies en clair sur le réseau.

Description

Les sites internet qui se basent uniquement sur un cookie pour l'identification de la session HTTP peuvent permettre à un utilisateur mal intentionné de récupérer cette session, car le cookie n'est pas chiffré avant son transfert.
Cette vulnérabilité peut aussi être utilisée pour se connecter sur un site se basant uniquement sur un cookie pour l'identification de l'utilisateur.

Solution

Mettre KDE à jour.
Les mises à jour sont disponibles en téléchargement sur le site de KDE (Consultez la section Documentation).

Documentation

Gestion détaillée du document

    le 13 septembre 2002
    version initiale.