V3.4.5 Cookie-based Session Management

Requirement:

Verify that if the application is published under a domain name with other applications that set or use session cookies that might disclose the session cookies, set the path attribute in cookie-based session tokens using the most precise path possible. (C6)

Explanation:

Требование касается управления сессиями на основе cookie и фокусируется на атрибуте 'path' сессионных cookie в сценариях, когда приложение публикуется под доменным именем наряду с другими приложениями, которые также могут использовать сессионные cookie. Требование подчеркивает важность установки атрибута 'Path' в токенах сессий на основе cookie с максимально точным путем, чтобы предотвратить случайное раскрытие cookie сессий другим приложениям на том же домене.

The 'Path' Attribute: Атрибут 'path' является одним из параметров, которые могут быть заданы для HTTP cookie. Он определяет путь к URL, по которому cookie должен быть отправлен на сервер. Если cookie задан с определенным путем, браузер будет включать этот cookie только в HTTP-запросы к URL, начинающимся с указанного пути. Это позволяет более детально контролировать, какие запросы получают cookie, ограничивая его воздействие на определенные части веб-сайта.

Cross-Application Cookie Exposure: В сценариях, когда несколько приложений размещены на одном домене (например, example.com), важно обеспечить, чтобы файлы cookie, установленные одним приложением, не были случайно раскрыты другим приложениям на том же домене. Например, если приложение устанавливает сессионный cookie с широким путем, таким как '/' (корневой путь), то такой cookie будет отправлен всем запросам в пределах данного домена, включая запросы к другим приложениям, размещенным на том же домене.

Precise Path Setting: Чтобы снизить риск межприкладного воздействия cookie, атрибут 'path' должен быть установлен на максимально точный путь, относящийся только к контексту приложения. Задавая более точный путь, можно ограничить область действия cookie и предотвратить его отправку при запросах к другим приложениям в том же домене.

Example: Предположим, что на сайте example.com размещены два приложения - одно для основного сайта, другое для подкаталога, например, example.com/app2. Чтобы избежать межприкладного воздействия cookie-файлов, сеансовые cookie-файлы для каждого приложения должны быть установлены по разным путям. Для основного сайта атрибут 'path' может быть установлен в '/' (корневой путь), а для приложения, находящегося в подкаталоге, атрибут 'path' должен быть установлен в '/app2'.

Multiple Subdomains Consideration: Если в вашем приложении также используются поддомены (например, app.example.com), имейте в виду, что установка атрибута 'path' в корневой путь ('/') также может привести к тому, что cookie будет распространяться на поддомены. В таких случаях следует задать атрибуту 'path' более конкретное значение, чтобы ограничить область действия cookie конкретным поддоменом или приложением.

Remediation:

Для реализации требования и проверки атрибута 'path' для токенов сессий на основе cookie в веб-приложении необходимо выполнить соответствующие настройки:

Step 1: Identify the Application's Context: Понять контекст веб-приложения и структуру его URL. Определите точные пути, по которым должны отправляться сессионные cookies. Примите во внимание наличие подкаталогов или поддоменов в настройках вашего приложения.

Step 2: Update the Code to Set the 'path' Attribute: Модифицируйте свой код, чтобы установить атрибут 'path' при создании или изменении сессионных cookie. Данная конфигурация зависит от фреймворка или платформы, на которой разрабатывается веб-приложение. Во многих фреймворках и языках, включая Python (Flask, Django), JavaScript (Express.js) и PHP, можно указать атрибут 'path' при настройке cookies. Используйте соответствующий синтаксис и задайте для атрибута 'path' наиболее точный путь, соответствующий контексту вашего приложения.

from flask import Flask, make_response

app = Flask(__name__)

@app.route('/')

def set_cookie():

# Replace 'your_cookie_value' with the actual value you want to set in the cookie

cookie_value = 'your_cookie_value'

# Create the response with the cookie and set the 'path' attribute

response = make_response('Cookie with path attribute set successfully!')

response.set_cookie('session-token', value=cookie_value, path='/your_app_path', secure=True, httponly=True)

return response

if __name__ == '__main__':

app.run(debug=True)

В приведенном выше примере мы устанавливаем атрибут 'path' в значение '/your_app_path'. Замените это значение точным путем, соответствующим контексту вашего веб-приложения.

Step 3: Test with Multiple Applications: В тестовой среде разверните и протестируйте свое веб-приложение вместе с другими приложениями в том же домене. Убедитесь, что сессионные cookie-файлы, установленные вашим приложением, отправляются только по определенным путям, заданным атрибутом 'path'. Убедитесь, что файлы cookie не будут случайно раскрыты другим приложениям в том же домене.

Step 4: Security Testing: Проведите тестирование безопасности, в том числе CSRF-тестирование, чтобы убедиться, что атрибут 'path' установлен корректно и не создает уязвимостей.

Step 5: Review and Monitoring: После внедрения и тестирования атрибута 'path' для сессионных токенов на основе cookie проанализируйте код и конфигурации, чтобы убедиться в их соответствии контексту приложения. Проконтролируйте работу приложения в продуктивной среде, чтобы убедиться, что атрибут 'path' работает так, как ожидалось, и что сессионные cookie-файлы ограничены предназначенными для них путями.

Additional:

https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies

https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html