検出の理由とVAddyの検査仕様
VAddyの「セッション管理の不備」検査では、クロールデータ内にログイン処理が含まれている場合、ログイン前後でセッションIDが変わっているかを検査します。
セッションIDが変化しない場合、セッション固定化攻撃に対し脆弱であるとして検知する仕様です。
誤検知となるケース
ログイン処理以外のURLで「セッション管理の不備」として検知された場合は、誤検知の可能性が高いと考えられます。
認証状態が変化しない機能を「ログイン処理」と誤って認識してしまい、処理の前後でセッションIDが変更されていないことにより、脆弱性として検知したことによるものです。
※ログイン処理のような認証状態が変化する処理でない場合は、セッションIDを変更する必要はございません。
対応方法
もし誤検知と判断できた場合は、検査除外設定を行うことで、該当のURLについて「セッション管理の不備」検査を除外することが出来ます。
設定手順につきましては、以下のサポート記事をご参照ください。
特定のURLへ検査を実行しないようにできますか？