CVE-2024-24823
graylog2-server Session Fixation vulnerability through cookie injection
Severity Score
Exploit Likelihood
Affected Versions
Public Exploits
0Exploited in Wild
-Decision
Descriptions
Graylog is a free and open log management platform. Starting in version 4.3.0 and prior to versions 5.1.11 and 5.2.4, reauthenticating with an existing session cookie would re-use that session id, even if for different user credentials. In this case, the pre-existing session could be used to gain elevated access to an existing Graylog login session, provided the malicious user could successfully inject their session cookie into someone else's browser. The complexity of such an attack is high, because it requires presenting a spoofed login screen and injection of a session cookie into an existing browser, potentially through a cross-site scripting attack. No such attack has been discovered. Graylog 5.1.11 and 5.2.4, and any versions of the 6.0 development branch, contain patches to not re-use sessions under any circumstances. Some workarounds are available. Using short session expiration and explicit log outs of unused sessions can help limiting the attack vector. Unpatched this vulnerability exists, but is relatively hard to exploit. A proxy could be leveraged to clear the `authentication` cookie for the Graylog server URL for the `/api/system/sessions` endpoint, as that is the only one vulnerable.
Graylog es una plataforma de gestión de registros abierta y gratuita. A partir de la versión 4.3.0 y antes de las versiones 5.1.11 y 5.2.4, la nueva autenticación con una cookie de sesión existente reutilizaría esa identificación de sesión, incluso si se trata de credenciales de usuario diferentes. En este caso, la sesión preexistente podría usarse para obtener acceso elevado a una sesión de inicio de sesión de Graylog existente, siempre que el usuario malintencionado pueda inyectar con éxito su cookie de sesión en el navegador de otra persona. La complejidad de un ataque de este tipo es alta, porque requiere presentar una pantalla de inicio de sesión falsificada e inyectar una cookie de sesión en un navegador existente, potencialmente a través de un ataque de cross-site scripting. No se ha descubierto ningún ataque de este tipo. Graylog 5.1.11 y 5.2.4, y cualquier versión de la rama de desarrollo 6.0, contienen parches para no reutilizar sesiones bajo ninguna circunstancia. Algunos workarounds están disponibles. El uso de una caducidad corta de la sesión y cierres de sesión explícitos de las sesiones no utilizadas pueden ayudar a limitar el vector de ataque. Esta vulnerabilidad no está parcheada, pero es relativamente difícil de explotar. Se podría aprovechar un proxy para borrar la cookie de "autenticación" para la URL del servidor Graylog para el endpoint "/api/system/sessions", ya que ese es el único vulnerable.
CVSS Scores
SSVC
- Decision:Track
Timeline
- 2024-01-31 CVE Reserved
- 2024-02-07 CVE Published
- 2024-08-01 CVE Updated
- 2025-01-07 EPSS Updated
- ---------- Exploited in Wild
- ---------- KEV Due Date
- ---------- First Exploit
CWE
- CWE-384: Session Fixation
CAPEC
References (3)
| URL | Tag | Source |
|---|
| URL | Date | SRC |
|---|
| URL | Date | SRC |
|---|---|---|
| https://github.com/Graylog2/graylog2-server/security/advisories/GHSA-3xf8-g8gr-g7rh | 2024-02-15 |
Affected Vendors, Products, and Versions
| Vendor | Product | Version | Other | Status | ||||||
|---|---|---|---|---|---|---|---|---|---|---|
| Vendor | Product | Version | Other | Status | <-- --> | Vendor | Product | Version | Other | Status |
| Graylog Search vendor "Graylog" | Graylog Search vendor "Graylog" for product "Graylog" | >= 4.3.0 < 5.1.11 Search vendor "Graylog" for product "Graylog" and version " >= 4.3.0 < 5.1.11" | - |
Affected
| ||||||
| Graylog Search vendor "Graylog" | Graylog Search vendor "Graylog" for product "Graylog" | >= 5.2.0 < 5.2.4 Search vendor "Graylog" for product "Graylog" and version " >= 5.2.0 < 5.2.4" | - |
Affected
| ||||||