აქტიური მართული ობიექტების ბრაუზერი საბოლოო წერტილები, როგორიცაა /mob მაღალი რისკის მქონე უსაფრთხოების პრობლემას წარმოადგენს, როდესაც აპლიკაციები მათ დაუცველი ნაგულისხმევი პარამეტრებით ან სუსტი წვდომის კონტროლით განათავსებენ. ეს ხარვეზები ხშირად გამოწვეულია უსაფრთხოების არასწორი კონფიგურაცია და ხშირად ესკალაციას განიცდის გატეხილი წვდომის კონტროლი, რაც არაავტორიზებული მომხმარებლებისთვის საშუალებას აძლევს შეამოწმონ აპლიკაციის შიდა ობიექტები და კონფიგურაცია.
ეს რჩევა აღწერს პრობლემას, განმარტავს, თუ როგორ იყენებენ თავდამსხმელები მას და გვთავაზობს კონკრეტულ შემამსუბუქებელ ნაბიჯებს, რომლებიც შეესაბამება... OWASP A05:2021 – უსაფრთხოების არასწორი კონფიგურაცია.
მართული ობიექტის ბრაუზერის ექსპოზიციის შედეგად დაზარალებული კომპონენტები
- აპლიკაციები, რომლებიც ამჟღავნებენ მართული ობიექტების ბრაუზერი
- ჯავა და enterprise ჩარჩოები, რომლებიც იყენებენ მართვის ან გამართვის საბოლოო წერტილებს
- გარემო, სადაც
/mobგანვითარების შემდეგაც აქტიური რჩება - სისტემები, რომლებსაც არ აქვთ მკაცრი როლზე დაფუძნებული ავტორიზაცია მართვის ინტერფეისებზე
რა არის მართული ობიექტების ბრაუზერი და რატომ იყენებენ მას დეველოპერები
მართული ობიექტების ბრაუზერი დეველოპერებს საშუალებას აძლევს, შემუშავების ან ტესტირების დროს შეამოწმონ შიდა აპლიკაციის ობიექტები, სერვისები ან კონფიგურაციის მნიშვნელობები. გუნდები ხშირად იყენებენ მას ქცევის გამართვისთვის, გაშვების მდგომარეობის დასადასტურებლად ან რთული პრობლემების უფრო სწრაფად მოსაგვარებლად.
პრობლემები იწყება მაშინ, როდესაც მართული ობიექტის ბრაუზერი ჩართული რჩება შემუშავების შემდეგაც ან მიეწოდება სათანადო დაცვის გარეშე. ბევრ შემთხვევაში, დეველოპერები ვარაუდობენ, რომ არავინ იცის საბოლოო წერტილის არსებობის შესახებ. თუმცა, ავტომატიზირებული სკანერები და თავდამსხმელები აქტიურად ეძებენ საერთო მართვის გზებს და ადვილად პოულობენ მათ.
ამის გამო, გახსნილი მართული ობიექტის ბრაუზერი სწრაფად იქცევა უსაფრთხოების არასწორ კონფიგურაციად, განსაკუთრებით მაშინ, როდესაც ნაგულისხმევი პარამეტრები ან სუსტი წვდომის შემოწმებები ძალაში რჩება.
როგორ ხდის უსაფრთხოების არასწორი კონფიგურაცია მართული ობიექტების ბრაუზერებს სახიფათოს
უსაფრთხოების არასწორი კონფიგურაცია ხდება მაშინ, როდესაც სისტემები მუშაობენ სახიფათო ნაგულისხმევი პარამეტრებით, არასაჭირო ფუნქციებით ან შეუსაბამო შეზღუდვებით. OWASP A05:2021 - უსაფრთხოების არასწორი კონფიგურაციის მიხედვით, გავრცელებული მიზეზებია ადმინისტრაციული ინტერფეისების დაუცველობა, ავტორიზაციის არარსებობა და ზედმეტად ნებადართული პარამეტრები.
როდესაც საქმე მართული ობიექტის ბრაუზერს ეხება, ეს ხშირად ნიშნავს:
- ბრაუზერი ჩართული რჩება წარმოებაში
- საბოლოო წერტილს არ იცავს ავთენტიფიკაცია
- წვდომა მხოლოდ ქსელის მდებარეობაზეა დამოკიდებული
- გამართვის პარამეტრები აქტიური რჩება
- მგრძნობიარე ობიექტები გამოჩნდება მკაფიო ტექსტში
შედეგად, თავდამსხმელებს შეუძლიათ შეამოწმონ შიდა კომპონენტები, კონფიგურაციის მნიშვნელობები და ზოგჯერ საიდუმლოებებიც კი. ამიტომ, ის, რაც თავდაპირველად სასარგებლო გამართვის ხელსაწყოდ იყო, სერიოზულ საფრთხედ იქცევა.
სად შედის სურათში დაზიანებული წვდომის კონტროლი
მაშინაც კი, როდესაც გუნდები ამატებენ ავტორიზაციას, ხშირად ჩნდება გაუმართავი წვდომის კონტროლი. მაგალითად, აპლიკაციამ შეიძლება ნებისმიერ შესულ მომხმარებელს მისცეს მართული ობიექტის ბრაუზერზე წვდომის უფლება, როლის ან პრივილეგიების დონის მიუხედავად.
ეს ქმნის კლასიკურ წვდომის კონტროლის ჩავარდნებს, როგორიცაა:
- ადმინისტრატორის ფუნქციებისთვის როლის შემოწმების ნაკლებობა
- კლიენტის მხარის შეზღუდვების ნდობა backend-ის აღსრულების ნაცვლად
- დაუცველი პირდაპირი ობიექტზე წვდომა
- გაზიარებული ავტორიზაციის მონაცემები სხვადასხვა გარემოში
პრაქტიკაში, დაბალი პრივილეგიების მქონე მომხმარებელს შეუძლია შიდა ობიექტების დათვალიერება უბრალოდ იმიტომ, რომ ბექენდი არასდროს ახორციელებს სათანადო ავტორიზაციას. შესაბამისად, წვდომის კონტროლის დარღვევა აძლიერებს უსაფრთხოების არასწორი კონფიგურაციის გავლენას და ზრდის სერიოზული კომპრომეტირების ალბათობას.
რატომ ხაზს უსვამს OWASP A05:2021 უსაფრთხოების არასწორი კონფიგურაცია ამ ნიმუშს
OWASP უსაფრთხოების არასწორ კონფიგურაციას ერთ-ერთ ყველაზე გავრცელებულ და თავიდან აცილებად რისკად ასახელებს. ეს კატეგორია აშკარად მოიცავს მართვის ღია ინტერფეისებს და არასაჭირო ფუნქციებს, რომლებიც ჩართულია.
დაუცველი მართული ობიექტის ბრაუზერი იდეალურად ერგება ამ ნიმუშს. ის აერთიანებს დაუცველ ნაგულისხმევ პარამეტრებს შეზღუდვების არარსებობასთან და, როდესაც ის დაწყვილებულია გაუმართავ წვდომის კონტროლთან, ის ხშირად იწვევს სისტემის სრულ კომპრომეტირებას. სწორედ ამიტომ, OWASP აგრძელებს ამ ხარვეზების ხაზგასმას, როგორც დეველოპერებისა და უსაფრთხოების გუნდების მთავარ პრიორიტეტს.
პრობლემები იწყება მაშინ, როდესაც მართული ობიექტის ბრაუზერი ჩართული რჩება შემუშავების შემდეგაც ან მიეწოდება სათანადო დაცვის გარეშე. ბევრ შემთხვევაში, დეველოპერები ვარაუდობენ, რომ არავინ იცის საბოლოო წერტილის არსებობის შესახებ. თუმცა, ავტომატიზირებული სკანერები და თავდამსხმელები აქტიურად ეძებენ საერთო მართვის გზებს და ადვილად პოულობენ მათ.
ამის გამო, გახსნილი მართული ობიექტის ბრაუზერი სწრაფად იქცევა უსაფრთხოების არასწორ კონფიგურაციად, განსაკუთრებით მაშინ, როდესაც ნაგულისხმევი პარამეტრები ან სუსტი წვდომის შემოწმებები ძალაში რჩება.
მართული ობიექტების ბრაუზერი და /mob საბოლოო წერტილი
მართული ობიექტების ბრაუზერი დეველოპერებს საშუალებას აძლევს, შეამოწმონ გაშვების ობიექტები, სერვისები და კონფიგურაცია გამართვის ან ადმინისტრირების მიზნით. გუნდები ხშირად დროებით რთავენ მას შემუშავების დროს. თუმცა, როდესაც აპლიკაცია იგზავნება /mob ჯერ კიდევ აქტიურია, ის ქმნის არასაჭირო და სახიფათო შეტევის ზედაპირს.
ეს ზემოქმედება, როგორც წესი, გამოწვეულია უსაფრთხოების არასწორი კონფიგურაციით, მათ შორის არაუსაფრთხო ნაგულისხმევი პარამეტრებით, გარემოს შეზღუდვების არარსებობით ან დარჩენილი გამართვის ფუნქციებით. როდესაც backend ავტორიზაციის ლოგიკა ვერ ახერხებს როლების მკაცრი შემოწმების განხორციელებას, წვდომის კონტროლის დარღვევა კიდევ უფრო ზრდის ზემოქმედებას.
მიხედვით OWASP, OWASP A05:2021 – უსაფრთხოების არასწორი კონფიგურაცია აშკარად მოიცავს დაუცველ მართვის ინტერფეისებს და არასაჭირო ფუნქციებს, როგორც კომპრომეტირების საერთო მიზეზებს.
შეტევის სცენარი /mob-ის საშუალებით მართული ობიექტების ბრაუზერის ექსპლუატაცია
შეტევის ტიპიური ნაკადი პროგნოზირებად ნიმუშს მიჰყვება:
- თავდამსხმელი სკანირებას უკეთებს მართვის საერთო გზებს, როგორიცაა
/mob - სერვერი პასუხობს ხელმისაწვდომი მართული ობიექტის ბრაუზერით.
- თავდამსხმელი ჩამოთვლის შიდა სერვისებს და მართული ობიექტები
- მგრძნობიარე კონფიგურაცია ან ლოგიკა ხილული ხდება
- თავდამსხმელი აძლიერებს ზემოქმედებას გამოვლენილი ფუნქციონალურობის მეშვეობით
ეს შეტევა არ საჭიროებს წინასწარ ექსპლუატაციას. ის ეყრდნობა კონფიგურაციის შეცდომებს, რომლებიც ხშირად გვხვდება საწარმოო სისტემებში.
დაუცველი კონფიგურაცია, რომელიც უსაფრთხოების არასწორ კონფიგურაციას იწვევს
შემდეგი კონფიგურაცია ავლენს /mob დაცვის გარეშე და არღვევს OWASP A05:2021 ხელმძღვანელობა.
# Insecure configuration
mob.enabled=true
mob.path=/mob
mob.auth.required=false
გავლენა:
- აპლიკაცია ყველა გარემოში ავლენს მართული ობიექტის ბრაუზერს.
- საბოლოო წერტილს არ იცავს ავთენტიფიკაცია ან ავტორიზაცია
- ნებისმიერ მომხმარებელს, რომელიც აღმოაჩენს გზას, შეუძლია შიდა ობიექტების დათვალიერება.
უსაფრთხო კონფიგურაცია მართული ობიექტის ბრაუზერის ზემოქმედების თავიდან ასაცილებლად
უსაფრთხო მიდგომა სტანდარტულად გამორთავს ფუნქციას და საჭიროების შემთხვევაში მკაცრად ზღუდავს წვდომას.
# Secure configuration
mob.enabled=false
spring.profiles.active=dev
თუ ბიზნეს საჭიროებები მოითხოვს /mob კონტროლირებად გარემოში, აგრესიულად შეზღუდეთ იგი:
mob.enabled=true
mob.path=/internal/mob
mob.auth.required=true
mob.allowed.roles=ADMIN
ეს კონფიგურაცია ამცირებს შეტევის ზედაპირს და შეესაბამება უსაფრთხოების არასწორი კონფიგურაციის პრევენციის საუკეთესო პრაქტიკას.
გაუმართავი წვდომის კონტროლის მაგალითი
ავთენტიფიკაცია ჩართულის შემთხვევაშიც კი, ბექენდ ლოგიკამ ავტორიზაცია ცალსახად უნდა აღასრულოს.
დაუცველი წვდომის კონტროლი
@GetMapping("/mob")
public ResponseEntity<?> showMob() {
return ResponseEntity.ok(mobService.getObjects());
}
ეს კოდი ნებისმიერ ავტორიზებული ან არაავტორიზებულ მომხმარებელს საშუალებას აძლევს, წვდომა ჰქონდეს მართული ობიექტების ბრაუზერზე.
უსაფრთხო წვდომის კონტროლი
@PreAuthorize("hasRole('ADMIN')")
@GetMapping("/mob")
public ResponseEntity<?> showMob() {
return ResponseEntity.ok(mobService.getObjects());
}
ეს იმპლემენტაცია უზრუნველყოფს სათანადო ავტორიზაციას და ხელს უშლის წვდომის კონტროლის დარღვევას, წინა პანელის ქცევის მიუხედავად.
გაუმართავი წვდომის კონტროლის გავლენა
გახსნილმა მართული ობიექტის ბრაუზერმა შეიძლება გამოიწვიოს:
- შიდა განაცხადის სტრუქტურის გამჟღავნება
- კონფიგურაციის მნიშვნელობების ან საიდუმლოებების გამჟღავნება
- პრივილეგიების ესკალაცია შიდა სერვისების მეშვეობით
- სისტემის სრული კომპრომეტირების ალბათობის გაზრდა
რადგან ეს ჩავარდნები აერთიანებს უსაფრთხოების არასწორ კონფიგურაციას და წვდომის კონტროლის დარღვევას, ისინი ხშირად სერიოზულ შედეგებს იწვევს.
გაუმართავი წვდომის კონტროლის შემცირების სახელმძღვანელო
დეველოპერებმა უნდა განახორციელონ შემდეგი ქმედებები:
- მართული ობიექტის ბრაუზერის ფუნქციების ნაგულისხმევად გამორთვა
- მართვის საბოლოო წერტილების შეზღუდვა განვითარების ან იზოლირებულ გარემოში
- ბექენდ როლზე დაფუძნებული ავტორიზაციის აღსრულება
- წარმოების ვერსიებიდან გამართვისა და ადმინისტრირების ფუნქციების ამოღება
- რეგულარულად გადახედეთ კონფიგურაციას სხვადასხვა გარემოში
ეს ნაბიჯები პირდაპირ ამცირებს OWASP A05:2021-ის შესაბამისად ზემოქმედებას.
როგორ ამოიცნობს და აფერხებს Xygeni მართული ობიექტების ბრაუზერს
Xygeni გუნდებს ეხმარება გადაჭრაში მართული ობიექტების ბრაუზერი რისკების შემცირება კონფიგურაციისა და წვდომის კონტროლის საკითხებზე ადრეული მიზანმიმართული ფოკუსირებით.
უსაფრთხოების არასწორი კონფიგურაციის აღმოჩენა
Xygeni სკანირებს კოდს, კონფიგურაციის ფაილებს და ინფრასტრუქტურის განმარტებებს, რათა გამოავლინოს ისეთი დაუცველი მართვის საბოლოო წერტილები, როგორიცაა /mobეს მოიცავს გამართვის დროშების, ადმინისტრატორის ფუნქციების და არაუსაფრთხო ნაგულისხმევი პარამეტრების აღმოჩენას განლაგებამდე.
კოდში დაზიანებული წვდომის კონტროლის პოვნა
ქსიგენი SAST ახდენს მგრძნობიარე საბოლოო წერტილების გარშემო ავტორიზაციის შემოწმების არარსებობის იდენტიფიცირებას. ის ხაზს უსვამს შემთხვევებს, როდესაც backend ლოგიკა ვერ ახერხებს როლების, ნებართვების ან ობიექტის დონეზე წვდომის აღსრულებას.
ექსპოზიციის პრევენცია CI-ში და IaC
By CI-ს სკანირება pipelines მდე IaC თარგები, Xygeni უზრუნველყოფს, რომ მართვის საბოლოო წერტილები არ გაიგზავნოს ჩართული სახით საწარმოო გარემოში.
რისკის შემცირება კონტექსტით
გუნდების შეტყობინებებით დატბორვის ნაცვლად, Xygeni პრიორიტეტს ანიჭებს დასკვნებს, რომლებიც ავლენს რეალური შეტევის გზებს, რაც დეველოპერებს ეხმარება პირველ რიგში მნიშვნელოვანის გამოსწორებაში.
საბოლოო ფიქრები
მართული ობიექტის ბრაუზერი, რომელიც გამოფენილია /mob ეს არის სახელმძღვანელოს მაგალითი იმისა, თუ როგორ იკვეთება უსაფრთხოების არასწორი კონფიგურაცია და წვდომის კონტროლის დარღვევა. ის, რაც თავდაპირველად სასარგებლო გამართვის ფუნქციის სახით იწყებოდა, სწრაფად იქცევა კრიტიკულ დაუცველობად.
OWASP A05:2021 გვახსენებს, რომ ეს ხარვეზები ერთ-ერთი ყველაზე გავრცელებული და თავიდან აცილებადია. სათანადო ავტომატიზაციისა და ხილვადობის წყალობით, დეველოპერებს შეუძლიათ მათი ადრეულ ეტაპზე აღმოჩენა და შიდა ხელსაწყოების წარმოებაში გადაგზავნის თავიდან აცილება.
Xygeni-ს დახმარებით, გუნდები ყოველდღიური განვითარების ფარგლებში ამ პრობლემების აღმოჩენის, პრევენციისა და გამოსწორების შესაძლებლობას იძენენ, გაცილებით ადრე, სანამ თავდამსხმელები მათ მიაღწევენ. /mob.
ავტორის შესახებ
დაწერილია ფატიმა Said, კონტენტ მარკეტინგის მენეჯერი, სპეციალიზირებული აპლიკაციების უსაფრთხოებაში Xygeni Security.
Fátima AppSec-ზე ქმნის დეველოპერებისთვის მოსახერხებელ, კვლევაზე დაფუძნებულ კონტენტს, ASPMდა DevSecOps. ის რთულ ტექნიკურ კონცეფციებს გარდაქმნის მკაფიო, ქმედით ხედვად, რომელიც კიბერუსაფრთხოების ინოვაციას ბიზნესზე ზეგავლენასთან აკავშირებს.
