CVE-2009-2367
CriticalSummary
W Iomega StorCenter Pro występuje podatność w skrypcie cgi-bin/makecgi-pro, który generuje przewidywalne identyfikatory sesji. Umożliwia to zdalnym atakującym przejęcie aktywnych sesji i uzyskanie uprawnień poprzez ataki brute force na parametr session_id.
Risk Assessment
Organizacja narażona jest na przejęcie sesji użytkowników, co może prowadzić do nieautoryzowanego dostępu do systemu i danych. Atakujący mogą wykorzystać tę podatność do eskalacji uprawnień.
Recommendation
Zaleca się wprowadzenie losowych i unikalnych identyfikatorów sesji oraz monitorowanie aktywności sesji w celu wykrywania podejrzanych działań. Należy również rozważyć wprowadzenie dodatkowych mechanizmów zabezpieczających, takich jak ograniczenie liczby prób logowania.
Original NVD description (English source)
cgi-bin/makecgi-pro in Iomega StorCenter Pro generates predictable session IDs, which allows remote attackers to hijack active sessions and gain privileges via brute force guessing attacks on the session_id parameter.