V12.5.1 File Download

Requirement:

Verify that the web tier is configured to serve only files with specific file extensions to prevent unintentional information and source code leakage. For example, backup files (e.g. .bak), temporary working files (e.g. .swp), compressed files (.zip, .tar.gz, etc) and other extensions commonly used by editors should be blocked unless required.

Explanation:

Убедитесь, что уровень представления (web) обслуживает только файлы с заранее определенными расширениями, чтобы предотвратить непреднамеренную утечку информации и исходного кода. Например, файлы резервных копий (.bak), временные рабочие файлы (.swp), сжатые файлы (.zip, .tar.gz и т. д.) и другие расширения, обычно используемые редакторами, должны быть заблокированы, если в них нет необходимости.

Remediation:

В веб-приложении обычно используется уровень представления (web) для обслуживания статических файлов, таких как изображения, видео и другие ресурсы. Однако могут быть определенные файлы, которые не должны быть общедоступными, например файлы резервных копий, временные рабочие файлы и другие файлы, которые могут содержать конфиденциальную информацию или исходный код. Настроив уровень представления (web) для обслуживания только определенных расширений файлов, вы можете предотвратить непреднамеренное раскрытие конфиденциальной информации и исходного кода. Например, вы можете заблокировать такие расширения, как .bak (файлы резервных копий), .swp (временные рабочие файлы), .zip, .tar.gz (сжатые файлы) и другие расширения, обычно используемые редакторами, если они не требуются. Это может быть реализовано различными способами, в зависимости от конкретного используемого веб-сервера. Например, в Apache вы можете использовать модуль mod_rewrite для блокировки определенных расширений файлов.

Вот пример того, как это сделать в Apache:

# Block access to specific extensions

<FilesMatch "\.(bak|swp|tmp|vscode|idea)$">

Order allow,deny

Deny from all

</FilesMatch>

# Allow access to safe extensions

<FilesMatch "\.(jpg|jpeg|png|gif|pdf|docx|mp3)$">

Order allow,deny

Allow from all

</FilesMatch>

В приведенном выше примере модуль mod_rewrite используется для блокировки доступа к файлам с расширениями .bak, .swp, .zip и .tar.gz. Директива RewriteCond проверяет URI запроса, чтобы увидеть, заканчивается ли он одним из этих расширений, а директива RewriteRule возвращает «запрещенную» ошибку (код состояния HTTP 403), если URI запроса совпадает.

Вот пример того, как это сделать в NGINX:

# Nginx configuration to block specific file extensions

location ~* \.(bak|swp|zip|tar.gz)$ {

deny all;

}

В этом примере директива location используется для сопоставления любых запросов файлов с расширениями .bak, .swp, .zip или .tar.gz. Директива deny all блокирует доступ к этим файлам, и Nginx будет возвращать ошибку «Запрещено» (код состояния HTTP 403) для любых запросов к этим файлам.

Additional:

https://cwe.mitre.org/data/definitions/552.html