Sécurité - Insecure cookie setting: missing Secure flag

Utilisation du core de Jeedom
1

Bonjour
En faisant un peu de cyber surveillance, j’ai constaté une petit vulnérabilité dans Jeedom :
Dans l’index.php, il manque le flag « secure » pour la génération du cookie
Voici un résumé cette vulnérabilité :

Vulnerability description
We found that a cookie has been set without the Secure flag, which means the browser will send it over an unencrypted channel (plain HTTP) if such a request is made. The root cause for this usually revolves around misconfigurations in the code or server settings.

Risk description
The risk exists that an attacker will intercept the clear-text communication between the browser and the server and he will steal the cookie of the user. If this is a session cookie, the attacker could gain unauthorized access to the victim’s web session.

Recommendation
Whenever a cookie contains sensitive information or is a session token, then it should always be passed using an encrypted channel. Ensure that the secure flag is set for cookies containing such sensitive information.

References

Classification

Je suis en jeedom 4.4.5, php 7.4.33 et debian 11.9
et je ne suis pas un spécialiste en cybersécurité
J’espère que ce message ne fait pas doublon avec une autre discussion
Cordialement

2

Hello,

Sans doute a cause de ceci :

image

donc pas accessible sur une session local http.

3

Salut,

et de base jeedom n’installe pas de certif donc en l’état si on active le flag secure ca bloquerait tout accès après une fresh install.

4

Bonjour
Dans l’index.php de mémoire t’y a rien de critique tout est dans authentification.php qui lui si il voit que c’est https active bien le flag secure normalement

5

Théoriquement d’après l’explication de la faille, le cookie étant en clair, il peut être dupliqué/imité
Après il est vrai que cela peut poser problème pour une connexion sur le LAN

6

Si accès via http

Mais en fait si accès via http y a pas que le cookie qui sera divulgué mais tous les échanges; notamment le login/password utilisé lors du login