V4.3.2 Other Access Control Considerations

Requirement:

Verify that directory browsing is disabled unless deliberately desired. Additionally, applications should not allow discovery or disclosure of file or directory metadata, such as Thumbs.db, .DS_Store, .git or .svn folders.

Explanation:

Список каталогов предоставляет злоумышленнику полный индекс всех ресурсов, расположенных внутри каталога. Конкретные риски и последствия различаются в зависимости от того, какие файлы перечислены и доступны.

Remediation:

Вот несколько шагов, чтобы исправить проблемы с просмотром каталогов и раскрытием метаданных файла или каталога:

• Отключить просмотр каталогов: Настройте веб-сервер таким образом, чтобы запретить просмотр каталогов, если это явно не требуется. Это можно сделать с помощью файла конфигурации сервера или с помощью среды веб-приложения, такой как Flask или Django.
• Заблокировать доступ к файлам метаданных. Заблокируйте доступ к файлам или каталогам, содержащим метаданные, таким как папки Thumbs.db, .DS_Store, .git или .svn. Это можно сделать с помощью файла конфигурации сервера, инфраструктуры веб-приложений или брандмауэра веб-приложений (WAF).
• Реализуйте URL-маршрутизацию: используйте URL-маршрутизацию, чтобы направлять все запросы к соответствующему ресурсу приложения, а не полагаться на веб-сервер для прямого обслуживания файлов. Это помогает предотвратить случайное раскрытие файлов метаданных.

Вот пример кода в Flask, который отключает просмотр каталогов и блокирует доступ к файлам метаданных:

from flask import Flask, render_template, abort

app = Flask(__name__)

@app.before_request

def block_metadata_files():

"""Block access to metadata files."""

if any(part.startswith(('.', 'Thumbs.db')) for part in request.path.split('/')):

abort(404)

@app.route('/')

def index():

"""Display the index page."""

return render_template('index.html')

@app.errorhandler(404)

def page_not_found(error):

"""Display a custom 404 page."""

return "File not found.", 404

Этот код использует декоратор before_request в Flask для проверки URL-адреса перед обработкой каждого запроса. Функция block_metadata_files проверяет, содержит ли путь URL какие-либо части, начинающиеся с . или Thumbs.db и возвращает ошибку 404, если это так. В коде также реализован настраиваемый обработчик ошибок 404, который возвращает настраиваемое сообщение об ошибке. Этот код можно расширить, чтобы реализовать маршрутизацию URL-адресов и настроить веб-сервер для предотвращения просмотра каталогов.

Additional:

https://cwe.mitre.org/data/definitions/548.html