Een probleem met de manier waarop HTTP-cookies worden geplaatst kan ervoor zorgen dat aanvallers HTTPS kunnen omzeilen en privégegevens kunnen stelen, zo waarschuwt het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit. Het probleem speelt in alle grote browsers.

Het probleem is dat de standaard voor cookies geen mechanisme specificeert voor scheiding en integriteit en browsers niet altijd de domein-instellingen van een cookie authenticeren. Een aanvaller kan dit gebruiken om een cookie te plaatsen die later voor een HTTPS-verbinding wordt gebruikt, in plaats van de cookie van de betreffende website. Een aanvaller kan zodoende een cookie voor example.com op de computer plaatsen die het echte cookie voor www.example.com overschrijft als het slachtoffer HTTPS-content laadt. Door een andere kwetsbaarheid in de server te gebruiken kan het cookie van de aanvaller worden gebruikt om privégegevens te verkrijgen.

De onderzoekers die het probleem tijdens het laatste USENIX Security Symposium besproken stellen dat een cookie een zogeheten "secure flag" kan bevatten, wat aangeeft dat het alleen over een HTTPS-verbinding moet worden gestuurd. Er is echter geen corresponderende flag die aangeeft hoe het cookie is geplaatst. Een aanvaller kan via een man-in-the-middle zodoende cookies injecteren die voor latere HTTPS-verbindingen worden gebruikt. Volgens het CERT/CC zijn er wel pogingen voor veiliger cookiebeheer ondernomen, maar zijn die allemaal mislukt vanwege een gebrek aan een wijdverbreide geïmplementeerde standaard.

Als oplossing stelt de organisatie dat de standaard voor cookies mogelijk moet worden aangepast. In de tussentijd adviseren de onderzoekers aan websites om HSTS (HTTP Strict Transport Security) voor het top-level domein in te stellen en de "includeSubDomains" optie te gebruiken. Dit voorkomt gedeeltelijk de mogelijkheid van een aanvaller om top-level cookies te plaatsen die de cookies voor een subdomein, zoals www.domeinnaam.tld, overschrijven. Eindgebruikers krijgen het advies om de meest recente browserversie te gebruiken. Met name IE-gebruikers doen hier verstandig aan. Internet Explorer 11 is namelijk de enige IE-versie die HSTS ondersteunt.