виставлений Браузер керованих об'єктів кінцеві точки, такі як /mob становлять високий ризик проблеми безпеки, коли програми розгортають їх із незахищеними налаштуваннями за замовчуванням або слабким контролем доступу. Ці недоліки зазвичай виникають через Неправильна конфігурація безпеки і часто ескалюють через Порушений контроль доступу, що дозволяє неавторизованим користувачам перевіряти внутрішні об'єкти та конфігурацію програми.
У цій рекомендації описується проблема, пояснюється, як зловмисники її використовують, і пропонуються конкретні кроки для її усунення, що відповідають OWASP A05:2021 – Неправильна конфігурація безпеки.
Компоненти, на які впливає вплив браузера керованих об'єктів
- Програми, що розкривають Браузер керованих об'єктів
- Ява та enterprise фреймворки, що використовують кінцеві точки керування або налагодження
- Середовища, де
/mobзалишається активним після розвитку - Системи, в яких відсутня сувора авторизація на основі ролей в інтерфейсах управління
Що таке керований об'єктний браузер і чому розробники його використовують
Керований браузер об'єктів дозволяє розробникам перевіряти внутрішні об'єкти, служби або значення конфігурації програми під час розробки чи тестування. Команди часто використовують його для швидшого налагодження поведінки, перевірки стану виконання або усунення складних проблем.
Проблеми починаються, коли керований браузер об'єктів залишається ввімкненим після завершення розробки або постачається без належного захисту. У багатьох випадках розробники припускають, що ніхто не знає про існування кінцевої точки. Однак автоматизовані сканери та зловмисники активно шукають спільні шляхи керування та легко їх виявляють.
Через це відкритий браузер керованих об'єктів швидко стає проблемою безпеки, особливо якщо залишаються налаштування за замовчуванням або слабкі перевірки доступу.
Як неправильна конфігурація безпеки робить керовані браузери об'єктів небезпечними
Неправильна конфігурація безпеки виникає, коли системи працюють із небезпечними налаштуваннями за замовчуванням, непотрібними функціями або несумісними обмеженнями. Згідно з OWASP A05:2021 – Неправильна конфігурація безпеки, поширеними причинами є відкриті інтерфейси адміністратора, відсутність автентифікації та надмірно дозвільні налаштування.
Коли задіяний керований браузер об'єктів, це часто означає:
- Браузер залишається ввімкненим у робочій версії
- Жодна автентифікація не захищає кінцеву точку
- Доступ залежить лише від розташування в мережі
- Налаштування налагодження залишаються активними
- Конфіденційні об'єкти відображаються у вигляді відкритого тексту
В результаті, зловмисники можуть перевіряти внутрішні компоненти, значення конфігурації, а іноді навіть секрети. Таким чином, те, що починалося як корисний інструмент налагодження, перетворюється на серйозну точку викриття.
Де на сцену виходить зламаний контроль доступу
Навіть коли команди додають автентифікацію, часто з’являється повідомлення про порушений контроль доступу. Наприклад, програма може дозволити будь-якому користувачеві, який увійшов у систему, доступ до браузера керованих об’єктів, незалежно від ролі чи рівня привілеїв.
Це створює класичні збої контролю доступу, такі як:
- Відсутні перевірки ролей для функцій адміністратора
- Довіра до обмежень на стороні клієнта замість примусового застосування на серверній частині
- Незахищений прямий доступ до об'єктів
- Спільні облікові дані в різних середовищах
На практиці користувач з низькими привілеями може переглядати внутрішні об'єкти просто тому, що серверна частина ніколи не забезпечує належну авторизацію. Отже, порушений контроль доступу посилює вплив неправильної конфігурації безпеки та збільшує ймовірність серйозної компрометації.
Чому неправильна конфігурація безпеки OWASP A05:2021 підкреслює цю закономірність
OWASP визначає неправильну конфігурацію безпеки як один із найпоширеніших ризиків, яким можна запобігти. Ця категорія чітко охоплює відкриті інтерфейси керування та непотрібні функції, що залишилися ввімкненими.
Вразливий керований браузер об'єктів ідеально відповідає цій схемі. Він поєднує незахищені налаштування за замовчуванням з відсутніми обмеженнями, а в поєднанні з порушеним контролем доступу часто призводить до повного компрометування системи. Саме тому OWASP продовжує виділяти ці збої як головний пріоритет для розробників та команд безпеки.
Проблеми починаються, коли керований браузер об'єктів залишається ввімкненим після завершення розробки або постачається без належного захисту. У багатьох випадках розробники припускають, що ніхто не знає про існування кінцевої точки. Однак автоматизовані сканери та зловмисники активно шукають спільні шляхи керування та легко їх виявляють.
Через це відкритий браузер керованих об'єктів швидко стає проблемою безпеки, особливо якщо залишаються налаштування за замовчуванням або слабкі перевірки доступу.
Браузер керованих об'єктів та /mob Кінцева точка
Керований браузер об'єктів дозволяє розробникам перевіряти об'єкти середовища виконання, служби та конфігурацію для налагодження або адміністрування. Команди часто тимчасово вмикають його під час розробки. Однак, коли програма постачається з /mob все ще активний, він створює непотрібну та небезпечну поверхню для атаки.
Зазвичай цей ризик виникає внаслідок неправильної конфігурації безпеки, зокрема небезпечних налаштувань за замовчуванням, відсутніх обмежень середовища або залишків функцій налагодження. Коли логіка авторизації на сервері не забезпечує суворої перевірки ролей, порушений контроль доступу ще більше посилює вплив.
За оцінкою OWASP, OWASP A05:2021 – Неправильна конфігурація безпеки явно включає відкриті інтерфейси керування та непотрібні функції як поширені першопричини компрометації.
Сценарій атаки з використанням браузера керованих об'єктів через /mob
Типовий потік атаки відбувається за передбачуваною схемою:
- Зловмисник сканує на наявність поширених шляхів керування, таких як
/mob - Сервер відповідає доступним браузером керованих об'єктів
- Зловмисник перераховує внутрішні служби та керовані об'єкти
- Чутлива конфігурація або логіка стає видимою
- Зловмисник посилює вплив через розкриту функціональність
Ця атака не потребує складного використання. Вона спирається на помилки конфігурації, які часто трапляються у виробничих системах.
Небезпечна конфігурація, що призводить до неправильної конфігурації безпеки
Наступна конфігурація надає доступ /mob без захисту та порушує OWASP A05:2021 керівництво.
Вплив:
- Програма надає доступ до керованого браузера об'єктів у всіх середовищах.
- Жодна автентифікація чи авторизація не захищає кінцеву точку
- Будь-який користувач, який знаходить шлях, може переглядати внутрішні об'єкти
Безпечна конфігурація для запобігання розкриттю браузера керованих об'єктів
Безпечний підхід вимикає функцію за замовчуванням і суворо обмежує доступ, коли це необхідно.
Якщо потреби бізнесу вимагають /mob у контрольованих середовищах агресивно обмежуйте його:
Така конфігурація зменшує площу атаки та відповідає найкращим практикам запобігання неправильній конфігурації безпеки.
Приклад зламаного контролю доступу
Навіть якщо автентифікація ввімкнена, логіка серверної частини повинна явно забезпечувати авторизацію.
Незахищений контроль доступу
Цей код дозволяє будь-якому автентифікованому або неавтентифікованому користувачеві отримати доступ до браузера керованих об'єктів.
Безпечний контроль доступу
Ця реалізація забезпечує належну авторизацію та запобігає порушенню контролю доступу, незалежно від поведінки інтерфейсу.
Вплив порушеного контролю доступу
Відкритий браузер керованих об'єктів може призвести до:
- Розкриття внутрішньої структури програми
- Розкриття значень конфігурації або секретів
- Ескалація привілеїв через внутрішні служби
- Підвищена ймовірність повного компрометування системи
Оскільки ці збої поєднують неправильну конфігурацію безпеки та порушений контроль доступу, вони часто призводять до серйозних наслідків.
Керівництво з пом'якшення наслідків порушення контролю доступу
Розробникам слід вжити таких заходів:
- Вимкнення функцій керованого браузера об'єктів за замовчуванням
- Обмежте кінцеві точки керування середовищами розробки або ізольованими середовищами
- Застосувати авторизацію на основі ролей у серверній частині
- Видалення функцій налагодження та адміністрування з виробничих збірок
- Регулярно переглядайте конфігурацію в різних середовищах
Ці кроки безпосередньо зменшують вплив згідно з OWASP A05:2021.
Як Xygeni виявляє та запобігає браузеру керованих об'єктів
Xygeni допомагає командам вирішувати Браузер керованих об'єктів ризики, вирішуючи проблеми конфігурації та контролю доступу на ранній стадії.
Виявлення неправильної конфігурації безпеки
Xygeni сканує код, файли конфігурації та визначення інфраструктури, щоб виявити відкриті кінцеві точки керування, такі як /mobЦе включає виявлення прапорців налагодження, функцій адміністрування та небезпечних налаштувань за замовчуванням перед розгортанням.
Пошук зламаного контролю доступу в коді
Ксігені SAST Виявляє відсутні перевірки авторизації навколо конфіденційних кінцевих точок. Він виділяє випадки, коли логіка серверної частини не забезпечує виконання ролей, дозволів або доступу на рівні об'єктів.
Запобігання впливу при КІ та IaC
By сканування CI pipelines та IaC Шаблони, Xygeni гарантує, що кінцеві точки керування не постачаються увімкненими у виробничих середовищах.
Зменшення ризику за допомогою контексту
Замість того, щоб завалювати команди сповіщеннями, Xygeni надає пріоритет висновкам, які викривають реальні шляхи атак, допомагаючи розробникам виправити те, що важливо в першу чергу.
Заключні думки
Керований об'єктний браузер, доступний через /mob є хрестоматійним прикладом того, як неправильна конфігурація безпеки та порушений контроль доступу перетинаються. Те, що починається як корисна функція налагодження, швидко перетворюється на критичну вразливість.
OWASP A05:2021 нагадує нам, що ці збої залишаються одними з найпоширеніших та таких, яких можна уникнути. Завдяки належній автоматизації та видимості, розробники можуть виявити їх на ранній стадії та уникнути відправки власних інструментів у виробництво.
Завдяки Xygeni команди отримують можливість виявляти, запобігати та виправляти ці проблеми в рамках щоденної розробки, задовго до того, як зловмисники досягнуть їхньої безпеки. /mob.
Про автора
Написано Фатіма Said, менеджер з контент-маркетингу, що спеціалізується на безпеці додатків у Безпека Xygeni.
Фатіма створює зручний для розробників контент на основі досліджень на AppSec, ASPM, та DevSecOps. Вона перетворює складні технічні концепції на чіткі, практичні висновки, які пов'язують інновації в кібербезпеці з впливом на бізнес.
