brak filtrowania typów żądań

Brak filtrowania typów żądań to luka bezpieczeństwa dopuszczająca nieoczekiwane lub nieautoryzowane rodzaje zapytań do systemu.

Czym jest brak weryfikacji metod i nagłówków żądań

Brak selektywnego filtrowania typów żądań w aplikacjach webowych oraz usługach sieciowych to istotne uchybienie w warstwie kontroli dostępu. Sytuacja ta zachodzi wtedy, gdy oprogramowanie serwera przyjmuje dowolne metody HTTP, takie jak PUT, DELETE, TRACE czy OPTIONS, mimo że do poprawnego funkcjonowania wymagane są wyłącznie standardowe operacje GET oraz POST. W architekturze opartej na interfejsach API oraz usługach REST problem ten dotyczy także akceptowania nieobsługiwanych typów zawartości w nagłówkach Content-Type, co pozwala na przesyłanie niezweryfikowanych struktur XML, JSON czy danych binarnych bezpośrednio do parserów.

Kontekst techniczny i wektory podatności - brak filtrowania typów żądań

Niezabezpieczony punkt końcowy staje się podatny na manipulacje strukturą komunikacji. Gdy system nie odrzuca nieobsługiwanych czasowników HTTP, atakujący może wymusić wykonanie operacji administracyjnych, ominąć reguły uwierzytelniania wbudowane w filtry pośredniczące (middleware) lub doprowadzić do wycieku wrażliwych metadanych środowiska uruchomieniowego. W skrajnych przypadkach nieprawidłowe parsowanie nietypowych formatów ładunku prowadzi do ataków typu XML External Entity (XXE), wstrzykiwania kodu bądź przepełnienia bufora parsera po stronie aplikacji.

Typowe błędy i objawy nieprawidłowej konfiguracji - brak filtrowania typów żądań

Do najczęstszych przyczyn powstawania tego typu luk zalicza się:

• pozostawienie domyślnych ustawień serwerów HTTP zezwalających na nieużywane metody komunikacji,
• brak walidacji schematów danych wejściowych przed przekazaniem ich do wewnętrznej logiki biznesowej,
• błędne reguły zapór sieciowych warstwy aplikacji (WAF), które ignorują specyficzne nagłówki protokołu,
• niewłaściwe mapowanie routingu w mikrousługach prowadzące do niekontrolowanego przetwarzania zapytań.

Bezpieczeństwo stacji roboczych a pomoc specjalistów

Podatności w lokalnych usługach sieciowych oraz niekontrolowany ruch aplikacji mogą bezpośrednio zagrażać stabilności całego systemu operacyjnego na stacjach roboczych. W przypadku podejrzenia infekcji, niestabilnego działania programów lub konieczności weryfikacji bezpieczeństwa systemu, wsparcia udziela Serwis laptopów i komputerów PC - Warszawa pod numerem +48 22 100 48 29. Wykwalifikowani technicy pomagają w optymalizacji środowiska, usuwaniu złośliwego oprogramowania oraz konfiguracji zapór sieciowych chroniących sprzęt przed nieautoryzowaną ingerencją.