PHPのSession Fixation問題

(Last Updated On: 2006年10月24日)PHPのセッション管理はセッションの固定化（Session Fixation）に脆弱であることは広く知れらていると思っていました。先日、php-users(ja)のMLに「Hardened PHPプロジェクトのStefanさんのパッチにSQLite Sessionモジュール用のセッションセーブハンドラパッチを追加したパッチを公開しました」と投稿しました。しかし、ダウンロード数等から推測するとセッションの固定化のリスクが正しく認識されていないのではないかと思えます。 セッション固定化のリスクを分かりやすく説明するには具体的な攻撃のシナリオを紹介した方がわかり易いのでいくつか説明します。以下の説明はデフォルト状態のPHPインストールでSession Fixation対策を行っていないのPHPアプリケーションに対して可能な攻撃の一例です

[potato777]

Web特化の言語なのに、こういう問題がある。言語レベルの設計なので簡単に修正が入らないというのも問題

[bigbro]

Session Fixation

[Iridium]

すごく重要です。特に携帯の場合は・・・

[webmarksjp]

セッション

[matsutakegohan1]

[system:unfiled]

[lifeloveregret]

session

[L42]

これはヤバイ

[tyamamoto]

PHP5

[minimin]

　確認しよう。

[mainyaa]

そういえばそうだったな・・・怖い。

[ll_koba_ll]

PHPのSession Fixation問題

[KoshigoeBushou]

PHPSESSID を URL から指定して固定。

[odz]

PHP標準のセッションを使っている場合は注意か

[lockcole]

URLでセッションIDを渡す場合に起こる脆弱性。これは怖い。

[ro-ca]

セッションの固定化がPHPでは可能なのは知らなかったのでびっくり。でも普通にクリックしちゃうよね。言語を意識してクリックする/しないなんて無理。。

[fafhrd]

PHPって怖いんだね

[Stingray]

セッションIDを含めたリンクをクリックしてログインすると記憶してしまう？

[hide_log]

php セキュリティ

[tks_period]

PHPは挫折したけど。

[HeavyFeather]

PHPのセッションID固定による問題、そのパッチ

[hiro_y]

PHPのセッション管理がセッションの固定化に対する脆弱性を抱えている問題。

[YasSo]

正直知りませんでした…。ちゃんとしたものを作るとき、知らなかったじゃすまされないよなぁ。

[Hamachiya2]

こわいんだね＞＜

[sumipan]

phpのsession fixationの問題に対するpatch