Hochgeladene MIME-Typen einschränken [Aktualisiert in Security Center 1.3 und 2.0]
Verwenden Sie die Eigenschaft glide.security.file.mime_type.validation, um die Überprüfung des MIME-Typs für Uploads zu aktivieren. Sie können die MIME-Typvalidierung für Dateianhänge aktivieren (setzen Sie die Eigenschaft auf wahr) oder deaktivieren (setzen Sie sie auf falsch).
Voraussetzungen
Legen Sie vor dem Festlegen dieser Eigenschaft die Eigenschaft glide.attachment.extensions fest. Nur die in glide.attachment.extensions angegebenen Erweiterungen werden während des Uploads auf den MIME-Typ überprüft. Weitere Informationen finden Sie unter Restrict file extensions.
Stellen Sie sicher, dass die Glide-Eigenschaft glide.ui.jelly.js_interpolation.protect_nested_expressions vorhanden und auf den Wert „true“ festgelegt ist. Wenn die Eigenschaft nicht in der Tabelle „sys_properties“ angezeigt wird, fügen Sie einen neuen Datensatz hinzu.
Weitere Informationen
| Attribut | Beschreibung |
|---|---|
| Eigenschaftsname | glide.security.file.mime_type.validation |
| Konfigurationstyp | Systemeigenschaften (/sys_properties_list.do) |
| Kategorie | Validierung, Bereinigung und Codierung |
| Zweck | Erzwingen der Überprüfung von MIME-Typ/magischen Bytes während Datei-Uploads. |
| Empfohlener Wert | wahr |
| Standardwert | wahr |
| Sicherheitsrisikobewertung | 5.4 |
| Funktionale Auswirkung | Diese Korrektur aktiviert die Verifizierung des MIME-Typs in den Anhängen an die Anwendung. Keine Auswirkungen auf die Funktionalität, es sei denn, beim Hochladen der Dateien liegt eine böswillige Absicht vor, da diese Validierung lediglich überprüft, ob die Synchronisierung zwischen dem MIME-Typ und den Daten fehlerhaft ist. |
| Sicherheitsrisiko | (Mittel) Um Schwachstellen wie Dateieinschluss und das Hochladen schädlicher Dateien zu reduzieren, sollte die Verifizierung des MIME-Typs aktiviert sein. |
| Referenzen | Administering attachments |
Weitere Informationen zum Konfigurieren von Eigenschaften für die Härtung finden Sie unter Härtungseinstellungen.
Weitere Informationen zum Hinzufügen oder Erstellen von Systemeigenschaften finden Sie unter Add a system property.