以下缓存相关行为的正确术语和基本 CVSS 分数是什么？

信息安全 Web应用程序 网页浏览器 网络服务器 术语 缓存
2021-09-01 13:59:11

需要身份验证的接口（网站/应用程序）应具有适当的 HTTP 缓存机制。如果没有，它允许攻击者在注销后重新浏览或以其他方式读取缓存。

为此，服务器应该强制要求浏览器在每个请求上重新验证（必须重新验证）源（而不是缓存它）的 HTTP 标头。实际上意味着当用户注销时，应该不可能在浏览器中浏览回来（未经授权）并查看仅限于经过身份验证的用户的内容。

对于允许浏览器缓存经过身份验证的内容的缓存机制，正确的术语和基本 CVSS 分数是什么？

我想一个可接受的 CVSS 分数可能是：

1个回答

我相信根据 OWASP，这种情况的正确配置会落入安全错误配置中。甚至会落入前 10 名。

Top 10-2017 A6-安全配置错误

我目前同意这个分数。但它也需要验证其他情况。比如它存储的信息。如果缓存存储信用卡信息或任何财务/个人页面，那么这甚至可以增加一些点 4.2。

如果它不在 OWASP 前 10 名中，我会认为这是一个较小的分数。我的意思是因为它发生了很多，它应该引起更大的关注。但如果攻击者可以访问多个浏览器，这可能会很关键。所以再一次，它很容易做使它变得更加关键。

其它你可能感兴趣的问题
上一篇Blueborne - 攻击场景说明 下一篇在只读文件系统上从 shell 运行本机代码