V13.1.5 Generic Web Service Security

Requirement:

Verify that requests containing unexpected or missing content types are rejected with appropriate headers (HTTP response status 406 Unacceptable or 415 Unsupported Media Type).

Explanation:

Продукт позволяет злоумышленнику загружать или передавать файлы опасных типов, которые могут быть автоматически обработаны в среде продукта.

Remediation:

Исправление для обеспечения надлежащей обработки неожиданных или отсутствующих типов контента заключается в реализации надлежащей проверки ввода и обработки ошибок. Вот несколько шагов, которые можно предпринять для достижения этой цели:

• Убедитесь, что входящий запрос содержит допустимый заголовок типа контента и соответствует ожидаемому типу контента для ресурса, к которому осуществляется доступ.
• Если заголовок типа контента отсутствует или не соответствует ожидаемому типу контента, отклоните запрос с соответствующим кодом состояния ответа HTTP, например 406 Unacceptable или 415 Unsupported Media Type.
• Убедитесь, что ответ об ошибке включает правильные заголовки HTTP, такие как заголовок Content-Type и заголовок Allow, чтобы указать допустимые типы контента и методы для ресурса. Регистрируйте все непредвиденные или отсутствующие ошибки типа контента, включая метод запроса, URL-адрес, заголовок типа контента и IP-адрес клиента, чтобы упростить расследование и устранение.
• Регулярно проверяйте и обновляйте логику обработки ошибок и проверки ввода, чтобы гарантировать ее актуальность и эффективность.
• Предоставьте обучение по безопасности и ресурсы для всех разработчиков и пользователей приложения, чтобы убедиться, что все понимают важность надлежащей проверки ввода и обработки ошибок.
• Рассмотрите возможность реализации сквозного процесса тестирования безопасности, такого как тестирование на проникновение или аудит безопасности, чтобы проверить безопасность механизмов обработки ошибок и проверки ввода и выявить любые потенциальные уязвимости.

Вот простой пример исправления кода в Python для этой проблемы безопасности:

Реализация фильтрации неподходящих типов файлов

from flask import Flask, request, jsonify

app = Flask(__name__)

@app.route("/data", methods=["POST"])

def post_data():

content_type = request.headers.get("Content-Type")

if content_type != "application/json":

return jsonify({"error": "Unsupported Media Type"}), 415

# Handle the request as expected

data = request.get_json()

# ...

return jsonify({"success": True})

if __name__ == "__main__":

app.run()

Additional:

CWE-434: Unrestricted Upload of File with Dangerous Type