CVE-2023-30861: Session Cookie Disclosure in Flask

CVSS 7,5 HIGH - Divulgazione di session cookie in Flask via header Vary: Cookie mancante. Condizioni specifiche.

CVE-2023-30861 è una vulnerabilità di divulgazione di session cookie in Flask. La falla si manifesta quando Flask è ospitato dietro un proxy di caching che non rimuove i cookie. Flask vulnerabile imposta l'header Vary: Cookie solo quando la sessione è accessa o modificata, non durante il semplice refresh. Questo permette ai proxy di cache di servire il session cookie di un cliente a altri clienti.

La vulnerabilità ha CVSS 7,5 (HIGH). Richiede condizioni specifiche contemporanee: session.permanent = True, nessun accesso/modifica sessione durante la richiesta, SESSION_REFRESH_EACH_REQUEST abilitato (predefinito), nessun header Cache-Control privato. Identificata maggio 2023, risolta con Flask 2.3.2 e 2.2.5. Laboratorio GitHub educativo segnalato novembre 2026 evidenzia interesse continuo.

Aggiornare Flask a 2.3.2 o 2.2.5 elimina la vulnerabilità. Verificare il proxy di caching: non deve memorizzare risposte con Set-Cookie. Amministratori devono controllare Flask in produzione per versioni e proxy presenti. Se l'aggiornamento è bloccato, implementare Cache-Control: private per le pagine con sessioni. Monitorare le sessioni per attività anomale.

In sintesi

Cosa: Divulgazione di session cookie in Flask quando il proxy di caching non impedisce il caching delle risposte con cookie e l'header Vary: Cookie non viene impostato durante il refresh della sessione (solo accesso/modifica)
Gravità: CVSS 7,5 (HIGH) - La severità dipende dall'uso della sessione nell'applicazione e dal comportamento del proxy riguardo i cookie
Versioni interessate: Flask < 2.3.2 e Flask < 2.2.5
Correzione: Aggiornare a Flask 2.3.2 o 2.2.5. Verificare che il proxy non cachi risposte con Set-Cookie
Stato: Risolto a maggio 2023. Fix disponibile
Azione: Aggiornare Flask agli ultimi patch, verificare configurazione del proxy caching, controllare impostazioni di session.permanent e SESSION_REFRESH_EACH_REQUEST

Fonti: NVD, CVE-2023-30861

← Tutti gli articoli