CVE-2011-3417
Publiée le 2011-12-30 · Dernière modification le 2026-06-16
Les serveurs web utilisant d'anciennes versions du Microsoft .NET Framework avec l'authentification ASP.NET Forms et l'option « sliding expiry » (expiration glissante) activée sont concernés. Un attaquant distant peut obtenir un accès complet à des comptes utilisateurs arbitraires en incitant le système à servir un ticket d'authentification mis en cache via une URL spécialement conçue. Cette attaque ne nécessite aucune authentification, mais dépend de configurations serveur spécifiques et de certaines conditions réseau pour réussir.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Forms Authentication feature in the ASP.NET subsystem in Microsoft .NET Framework 1.1 SP1, 2.0 SP2, 3.5 SP1, 3.5.1, and 4.0, when sliding expiry is enabled, does not properly handle cached content, which allows remote attackers to obtain access to arbitrary user accounts via a crafted URL, aka "ASP.NET Forms Authentication Ticket Caching Vulnerability."