Kafemlejnek TV 16. - Roman Kümmel - Local session poisoning

Je až s podivem, že tato zranitelnost i několik let po svém objevení není běžně známá a že jí stále trpí všechny PHP aplikace, které se spolehnou na výchozí nastavení PHP. Principielně se zranitelnost týká i dalších platforem, ale tam není riziko tak vysoké jako právě v PHP. Local session poisoning objevil Roman Kümmel na konci roku 2015 a snažil se informovat postižené majitele webů, které byly touto technikou zranitelné. Jak dopadl si sami můžete přečíst v článku Bezpečnostní tragikomedie. Zranitelnost byla pravděpodobně poprvé zdokumentována na webu Haxxor Security v září 2011, nicméně nijak světem neotřásla a dosud na internetu najdete jen několik dalších článků o této zranitelnosti. To však neznamená, že se nejedná o závažný problém nebo o problém, který by byl od té doby již vyřešen. Zranitelnost je tu stále s námi a jak si Roman empiricky ověřil, je poměrně rozšířená. S využitím této zranitelnosti máte poměrně velkou šanci dostat se neoprávněně do administrací ostatních webů, které běží na stejném webovém serveru, jako ten Váš. Riziko platí pro všechny defaultní PHP instalace na serverech, které hostují několik webů. U Java platformy by toto riziko připadalo v úvahu pouze tehdy, pokud by jedna aplikace (WAR) hostovala více různých klientských webů a neošetřila si spojení session s konkrétním webem. Detaily o této zranitelnosti si ale radši poslechněte rovnou od Romana. A nezapomeňte na demo v druhé polovině dílu.