鳩丸ぐろっさり (用語集)

"adopt" は受け入れる、取り込むというような意味です。session adoption とは、自分部発行したものでないセッションIDを受け入れ、そのIDを使用してセッションを開始してしまうことを指します。

特にPHPでは、URLに ?PHPSESSID=xxxxxxxx のようなクエリをつけたリクエストを受けると、そこで指定されたIDを使用してセッションを開始してしまう場合があります。このような挙動はセッション固定攻撃を容易にしてしまうことがあり、望ましくありません。

※なお、PHPの設定で session.use_only_cookies を有効にすれば、URLにつけられたセッションIDは無視されるようになります。

URLのクエリで指定されるのではないパターンもあります。たとえば、Cookie Monsterの問題を利用して Cookie にセッションIDを指定された時、そのセッションIDが未知のものであっても受け入れてしまい、そのIDでセッションを開始してしまうケースがあります。このようなケースも「session adoption」と呼ばれる場合があります。