CVE-2014-8684
KrytyczneStreszczenie
CodeIgniter przed wersją 3.0 oraz Kohana w wersjach 3.2.3 i wcześniejszych oraz 3.3.x do 3.3.2 umożliwiają zdalnym atakującym fałszowanie ciasteczek sesyjnych, co może prowadzić do ataków typu PHP object injection. Problem wynika z użycia standardowych operatorów porównania łańcuchów do porównywania skrótów kryptograficznych.
Ocena ryzyka
Organizacje mogą być narażone na ataki, które pozwalają na przejęcie sesji użytkowników oraz wykonanie nieautoryzowanego kodu. To może prowadzić do wycieku danych lub kompromitacji systemów.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji CodeIgniter lub Kohana, aby usunąć tę podatność. Dodatkowo, warto rozważyć wprowadzenie dodatkowych mechanizmów zabezpieczających sesje użytkowników.
Oryginalny opis (angielski, źródło NVD)
CodeIgniter before 3.0 and Kohana 3.2.3 and earlier and 3.3.x through 3.3.2 make it easier for remote attackers to spoof session cookies and consequently conduct PHP object injection attacks by leveraging use of standard string comparison operators to compare cryptographic hashes.