CVE-2020-26732

SKYWORTH GN542VF ハードウェアバージョン 2.0 およびソフトウェアバージョン 2.0.0.16 は、HTTPS セッションにおいてセッションクッキーに Secure フラグを設定しません

説明

SKYWORTH GN542VF ハードウェアバージョン 2.0 およびソフトウェアバージョン 2.0.0.16 は、HTTPS セッションにおいてセッションクッキーに Secure フラグを設定しません。そのため、リモートの攻撃者が HTTP セッション内でその送信を傍受することにより、このクッキーを取得することが容易になります。

追加情報

各クッキーは機密データを含んでいるか、セキュリティ上の判断に依存されているかを判断するために注意深くレビューされるべきです。可能であれば、すべての通信が暗号化されたチャネルを介して行われるようにし、すべてのセッションクッキーまたは機密データを含むクッキーに secure 属性を追加してください。

脆弱性タイプ: その他

Web アプリケーションのクッキーが Secure とマークされていない

製品ベンダー

SKYWORTH

影響を受ける製品コードベース

SKYWORTH GN542VF - Hardware Version 2.0 and Software Version 2.0.0.16

影響を受けるコンポーネント

SKYWORTH GN542VF の Web アプリケーションクッキー。

攻撃タイプ

ローカル

影響: 情報開示

true

攻撃ベクター

これは、クッキーが、トラフィックの傍受と復号に成功した攻撃者、または中間者攻撃の成功後に、盗まれる可能性があることを意味します。

発見者

Jiraput Thamsongkrah

概念実証