NVD脆弱性詳細

CVE-2022-39284

概要	CodeIgniter is a PHP full-stack web framework. In versions prior to 4.2.7 setting `$secure` or `$httponly` value to `true` in `Config\Cookie` is not reflected in `set_cookie()` or `Response::setCookie()`. As a result cookie values are erroneously exposed to scripts. It should be noted that this vulnerability does not affect session cookies. Users are advised to upgrade to v4.2.7 or later. Users unable to upgrade are advised to manually construct their cookies either by setting the options in code or by constructing Cookie objects. Examples of each workaround are available in the linked GHSA.
公表日	2022年10月7日5:15
登録日	2022年10月7日10:00
最終更新日	2024年11月21日16:17

影響を受けるソフトウェアの構成

構成1		以上	以下	より上	未満
cpe:2.3:a:codeigniter:codeigniter::::::::		4.0.0			4.2.7

関連情報、対策とツール

No	URL	タグ
1	https://codeigniter4.github.io/userguide/helpers/cookie_helper.html#set_cookie	Technical Description Third Party Advisory
2	https://codeigniter4.github.io/userguide/helpers/cookie_helper.html#set_cookie	Technical Description Third Party Advisory
3	https://codeigniter4.github.io/userguide/outgoing/response.html#CodeIgniter%5CHTTP%5CResponse::setCookie	Technical Description Third Party Advisory
4	https://codeigniter4.github.io/userguide/outgoing/response.html#CodeIgniter%5CHTTP%5CResponse::setCookie	Technical Description Third Party Advisory
5	https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies#restrict_access_to_cookies	Technical Description Third Party Advisory
6	https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies#restrict_access_to_cookies	Technical Description Third Party Advisory
7	https://github.com/codeigniter4/CodeIgniter4/issues/6540	Exploit Issue Tracking Third Party Advisory
8	https://github.com/codeigniter4/CodeIgniter4/issues/6540	Exploit Issue Tracking Third Party Advisory
9	https://github.com/codeigniter4/CodeIgniter4/pull/6544	Patch Third Party Advisory
10	https://github.com/codeigniter4/CodeIgniter4/pull/6544	Patch Third Party Advisory
11	https://github.com/codeigniter4/CodeIgniter4/security/advisories/GHSA-745p-r637-7vvp	Mitigation Third Party Advisory
12	https://github.com/codeigniter4/CodeIgniter4/security/advisories/GHSA-745p-r637-7vvp	Mitigation Third Party Advisory

共通脆弱性一覧

No	CWE	名前	URL
1	CWE-732	重要なリソースに対する不適切なパーミッションの割り当て	https://cwe.mitre.org/data/definitions/732.html

JVN脆弱性情報

British Columbia Institute of Technology の CodeIgniter における重要なリソースに対する不適切なパーミッションの割り当てに関する脆弱性

タイトル	British Columbia Institute of Technology の CodeIgniter における重要なリソースに対する不適切なパーミッションの割り当てに関する脆弱性
概要	British Columbia Institute of Technology の CodeIgniter には、重要なリソースに対する不適切なパーミッションの割り当てに関する脆弱性が存在します。
想定される影響	情報を取得される可能性があります。
対策	ベンダアドバイザリまたはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。
公表日	2022年10月6日0:00
登録日	2023年10月20日17:27
最終更新日	2023年10月20日17:27

影響を受けるシステム

British Columbia Institute of Technology

CodeIgniter 4.0.0 以上 4.2.7 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2022-39284	https://www.cve.org/CVERecord?id=CVE-2022-39284
National Vulnerability Database (NVD)
2	CVE-2022-39284	https://nvd.nist.gov/vuln/detail/CVE-2022-39284

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-732	https://cwe.mitre.org/data/definitions/732.html

その他

No	名前	URL
関連文書
1	codeigniter4.github.io (cookie_helper.html#set_cookie)	https://codeigniter4.github.io/userguide/helpers/cookie_helper.html#set_cookie
2	codeigniter4.github.io (response.html#CodeIgniter\HTTP\Response::setCookie)	https://codeigniter4.github.io/userguide/outgoing/response.html#CodeIgniter%5CHTTP%5CResponse::setCookie
3	developer.mozilla.org (Cookies#restrict_access_to_cookies)	https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies#restrict_access_to_cookies
4	github.com (GHSA-745p-r637-7vvp)	https://github.com/codeigniter4/CodeIgniter4/security/advisories/GHSA-745p-r637-7vvp
5	github.com (issues/6540)	https://github.com/codeigniter4/CodeIgniter4/issues/6540
6	github.com (pull/6544)	https://github.com/codeigniter4/CodeIgniter4/pull/6544

変更履歴

No	変更内容	変更日
1	[2023年10月20日] 掲載	2023年10月20日17:27