V5.2.7 Sanitization and Sandboxing

Requirement:

Verify that the application sanitizes, disables, or sandboxes user-supplied Scalable Vector Graphics (SVG) scriptable content, especially as they relate to XSS resulting from inline scripts, and foreignObject.

Explanation:

Проверка того, как приложение обрабатывает масштабируемую векторную графику (SVG), является важным шагом в предотвращении атак с использованием межсайтовых сценариев (XSS). Чтобы убедиться, что пользовательский SVG-контент безопасен, приложение должно должным образом филтровать или помещать его в песочницу. Очистка относится к удалению или экранированию любого вредоносного кода, содержащегося в содержимом SVG, до его обработки приложением. Этого можно достичь с помощью таких методов, как проверка ввода и экранирование вывода. Отключение относится к предотвращению выполнения любого сценария, содержащегося в содержимом SVG. Этого можно добиться, установив соответствующие политики безопасности или удалив любые элементы скрипта из содержимого SVG. Песочница — это выполнение сценария, содержащегося в содержимом SVG, в ограниченной среде, такой как iframe, что ограничивает влияние любого вредоносного кода. Особое внимание следует уделять встроенным сценариям и элементам ForeignObject в содержимом SVG, поскольку они являются распространенными целями для XSS-атак. Правильно фильтруя, запрещая или помещая в песочницу эти элементы, приложение может снизить риск XSS-атак и защитить своих пользователей.

Remediation:

Чтобы устранить уязвимости, связанные с предоставляемым пользователем содержимым с поддержкой сценариев масштабируемой векторной графики (SVG), можно предпринять следующие шаги:

• Проверка входных данных: Убедитесь, что весь пользовательский SVG-контент проходит надлежащую проверку для фильтрации любого вредоносного кода перед его обработкой приложением. Этого можно достичь с помощью таких методов, как внесение в белый список разрешенных элементов, атрибутов и наборов символов.
• Экранирование вывода: при отображении предоставленного пользователем SVG-контента убедитесь, что он правильно экранированирован, чтобы предотвратить выполнение любого вредоносного кода. Этого можно достичь с помощью таких методов, как HTML-, JavaScript-, URL-encoding.
• Блокировка скриптов: Рассмотрите возможность блокировки выполнения встроенных скриптов и элементов foreignObject в содержимом SVG. Этого можно добиться, установив соответствующие политики безопасности или удалив любые элементы скрипта из содержимого SVG.
• Песочница: Рассмотрите возможность выполнения сценариев, содержащихся в содержимом SVG, в ограниченной среде, такой как iframe, что ограничивает воздействие любого вредоносного кода.
• Регулярное сканирование уязвимостей: регулярно сканируйте приложение на наличие уязвимостей и устраняйте любые проблемы по мере их обнаружения.
• Поддерживайте программное обеспечение в актуальном состоянии: Убедитесь, что все программное обеспечение и библиотеки, используемые приложением, поддерживаются в актуальном состоянии с последними исправлениями и обновлениями безопасности.

Вот пример проверки ввода в JavaScript, который можно использовать для очистки пользовательского содержимого SVG:

Фильтрация ввода

function validateSVG(svgContent) {

// Define a list of allowed elements and attributes

const allowedElements = ['rect', 'circle', 'path'];

const allowedAttributes = ['x', 'y', 'width', 'height', 'fill'];

// Create a new DOMParser object

const parser = new DOMParser();

// Parse the user-supplied SVG content

const svgDoc = parser.parseFromString(svgContent, "image/svg+xml");

// Loop through all elements in the SVG document

for (let i = 0; i < svgDoc.children.length; i++) {

let element = svgDoc.children[i];

// If the element is not in the allowed elements list, remove it

if (!allowedElements.includes(element.tagName)) {

element.remove();

} else {

// Loop through all attributes of the element

for (let j = 0; j < element.attributes.length; j++) {

let attribute = element.attributes[j];

// If the attribute is not in the allowed attributes list, remove it

if (!allowedAttributes.includes(attribute.name)) {

element.removeAttribute(attribute.name);

}

}

}

}

// Return the validated and sanitized SVG content

return new XMLSerializer().serializeToString(svgDoc);

}

Additional: