cookies替换的垂直越权漏洞

doris

X5流程待办：通过cookies替换，低权限账号可查看高权限账号信息和功能，存在垂直越权漏洞。请问应该如何处理？

hecr

1. 如果是通过修改cookies的方式放大权限的话， 可以使用https的方式解决;
2. 如果是通过修改url参数的方式放大权限的话，平台可以提供一个补丁， 不识别url中的bsessionid, 只认cookie中的;
你们检测的安全问题是哪种方式？

doris

hecr 发表于 2020-11-19 14:19
1. 如果是通过修改cookies的方式放大权限的话， 可以使用https的方式解决;
2. 如果是通过修改url参数的方式 ...

两种都修复吧，安全管的比较严

jishuang

1.自己按照https部署
2.runtime/BusinessServer/version.txt文件中具体的版本号发一下

doris

jishuang 发表于 2020-11-19 14:38
1.自己按照https部署
2.runtime/BusinessServer/version.txt文件中具体的版本号发一下

build version : 5.3.8.6274
build time : 2019.06.04 20:47:00

兼容了5.2.7

jishuang

这个需要替换为最新的3.9版本

修改UIServer/WEB-INF/justep.xml，添加以下内容
<disable-bsessionid-with-params>true</disable-bsessionid-with-params>

这样解决只认cookie中的这个方案