[Security/GCES] Vulnerabilidade de Session Hijacking devido à ausência da flag 'Secure' no cookie de sessão

Foi identificada e validada uma vulnerabilidade crítica de Gerenciamento de Sessão Inseguro na EJ-Platform. O token de sessão (sessionid) é transmitido sem o atributo de segurança Secure.

Essa configuração falha permite que a credencial de sessão seja capturada em texto simples (cleartext) por atacantes que monitorem o tráfego de rede, levando ao sequestro de contas (Session Hijacking).

Contexto

• Vulnerabilidade: Session Hijacking / Cookie Inseguro.
• Localização: Configuração do framework para o cookie sessionid.
• Causa Raiz: O protocolo HTTP não criptografado expõe o cookie de sessão porque a configuração padrão não força o atributo Secure.
• Impacto: Alto — Permite que um atacante obtenha acesso total a qualquer conta de usuário (incluindo administradores) sem precisar da senha original.

Causa Técnica

A vulnerabilidade reside na camada de configuração do framework: a ausência da flag Secure anula a proteção em qualquer conexão que não seja HTTPS. O servidor aceita o token de autenticação mesmo que ele tenha sido transmitido de forma insegura.

Recomendação / Proposta de Mitigação

A correção é de alta prioridade e deve ser implementada na camada de configuração:

• Forçar HTTPS: Configurar o ambiente de produção para que a aplicação só seja acessível via HTTPS.
• Ativar a Flag Secure: Alterar o arquivo settings.py (ou equivalente) para forçar o uso da flag Secure para cookies de sessão e CSRF, garantindo que eles só sejam enviados em conexões criptografadas.

Responsáveis envolvidos

Participantes / Revisores / Envolvidos:

@julnox

@MarcusVcd