Cross-Session Contamination

ABSTRACT

在 localStorage 和 sessionStorage 之間傳輸值會不知不覺地暴露敏感信息。

EXPLANATION

HTML5 提供 localStorage 和 sessionStorage 映射，以支持開發人員保留程序值。sessionStorage 映射僅在頁面實例和即時瀏覽器會話期間為調用頁面提供存儲。但是，localStorage 映射會提供可供多個頁面實例和瀏覽器實例訪問的存儲。此功能允許應用程序在多個瀏覽器選項卡或窗口中保留和使用同一信息。

例如，開發人員可能希望在旅游應用程序中使用多個瀏覽器選項卡或實例，以支持用戶打開多個選項卡來比較住宿選擇，同時保留用戶最初的搜索條件。在傳統的 HTTP 存儲方法中，用戶會面臨在一個選項卡中執行的購買和決策（并存儲在會話或 cookies 中）與另一個選項卡中的購買相干擾的風險。

借助跨多個瀏覽器選項卡使用用戶值的功能，開發人員必須多加小心，以免將敏感信息從 sessionStorage 范圍移至 localStorage，反之亦然。

示例：以下示例將信用卡 CCV 信息存儲在會話中，表明用戶已授權該站點收取文件中卡的購買費用。對于在瀏覽器選項卡環境中的每個購買嘗試，都需要信用卡許可。為避免重新輸入 CCV，此信息被存儲在 sessionStorage 對象中。但是，開發人員還將信息存儲在 localStorage 對象中。

	 
...
try {
sessionStorage.setItem("userCCV", currentCCV);
} catch (e) {
if (e == QUOTA_EXCEEDED_ERR) {
alert('Quota exceeded.');
    }
    }

    ...
    ...
    
var retrieveObject = sessionStorage.getItem("userCCV");
try {
localStorage.setItem("userCCV",retrieveObject);
} catch (e) {
if (e == QUOTA_EXCEEDED_ERR) {
alert('Quota exceeded.');
	}
     ...
     
var userCCV = localStorage.getItem("userCCV");
...
} 
...

REFERENCES

[1] Standards Mapping - OWASP Top 10 2004 - (OWASP 2004) A1 Unvalidated Input

[2] Standards Mapping - Security Technical Implementation Guide Version 3 - (STIG 3) APP3510 CAT I

[3] Standards Mapping - Security Technical Implementation Guide Version 3.4 - (STIG 3.4) APP3510 CAT I

[4] Standards Mapping - Common Weakness Enumeration - (CWE) CWE ID 501

[5] Standards Mapping - Payment Card Industry Data Security Standard Version 1.2 - (PCI 1.2) Requirement 6.3.1.1

[6] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 - (PCI 1.1) Requirement 6.5.1

[7] Standards Mapping - Payment Card Industry Data Security Standard Version 2.0 - (PCI 2.0) Requirement 6.5.8

[8] Standards Mapping - FIPS200 - (FISMA) SI