暴力接管 sftpgo 中的 OpenID Connect 会话 cookie（CVE-2024-52801）
CVE编号
CVE-2024-52801
利用情况
暂无
补丁情况
N/A
披露时间
2024-11-30
漏洞描述
sftpgo是一个功能全面且高度可配置的事件驱动文件传输解决方案。服务器协议包括SFTP、HTTP/S、FTP/S和WebDAV。OpenID Connect的实现允许经过身份验证的用户对会话cookie进行暴力破解，从而访问其他用户的数据，因为cookie是使用xid库可预测地生成的，因此它们是唯一的，但并非加密安全。这个问题已在v2.6.4版本中修复，其中cookies是不透明且加密安全的字符串。建议所有用户进行升级。对于此漏洞，没有已知的解决方法。
解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
文章评论