WebSphere 8.5のchangeSessionIdOnAuthentication？

私たちのセキュリティチームは、セッションの固定に脆弱であることを示すスキャンを実行しました。ドキュメントによって、Tomcatではcontext.xmlにchangeSessionIdOnAuthentication設定を使用する必要があることがわかりました。WebSphere 8.5のchangeSessionIdOnAuthentication？

WebSphere 8.5ではどのような動きがありますか？

出典

2016-04-12 user1187719

彼らは、WebSphereまたはTomcatをスキャンしましたか？アプリケーションセキュリティとセッションセキュリティの統合を使用している場合（8.5ではデフォルトで有効）、脆弱ではありません。 – Gas

@Gas彼らはアプリケーションをスキャンします。あなたのアプリのURLを提供するセキュリティプログラムです。さまざまな脆弱性を検出しています。結果のいくつかはB.Sですが、これは正当なものの1つです。私はTomcatがインターネットによればこの機能を持っているのを見ることができますが、WASやWASのどこにいるのか分かりません。 – user1187719

私はWAS 8.5でも同じ問題がありました。 Springセキュリティを使用してセッション固定問題を構成しました。

<security:session-management invalid-session-url="/login" session-authentication-error-url="/login" session-fixation-protection="newSession"> 
<security:concurrency-control error-if-maximum-exceeded="true" max-sessions="1" expired-url="/login"/>

出典

2016-04-19 00:22:54 Bala

WebSphere 8.5のchangeSessionIdOnAuthentication？

答えて

関連する問題