Restreindre les types MIME téléchargeables [Mis à jour dans Centre de sécurité 1.3 et 2.0]
La glide.ui.attachment.download_mime_types propriété forcera le téléchargement de la liste spécifiée de types de fichiers dangereux sur le client et leur non-affichage aligné dans le navigateur.
Si la propriété glide.ui.attachment.force_download_all_mime_types est définie sur true, la glide.ui.attachment.download_mime_types propriété est alors remplacée afin que tous les types MIME soient téléchargés plutôt qu’affichés par le navigateur. Par exemple, le téléchargement de texte/html force un fichier HTML à être téléchargé sur le client en tant que fichier plutôt que d’être affiché en ligne dans le navigateur, empêchant ainsi une attaque XSS. XSS peut conduire à une escalade de privilège facilement atteinte vers des rôles plus élevés tels que l’administrateur où un mouvement plus latéral peut être effectué.
Nouvelle correction : assurez-vous que la propriété glide.ui.attachment.force_download_all_mime_types est définie sur true. Si la propriété n’existe pas dans la table sys_properties, la valeur par défaut est faux.
En savoir plus
| Attribut | Description |
|---|---|
| Nom de la propriété | glide.ui.attachment.download_mime_types |
| Type de configuration | Propriétés système (/sys_properties_list.do) |
| Catégorie | Validation, nettoyage et codage |
| Objectif | La gestion correcte de la liste des types de fichiers dangereux qui ne peuvent pas être affichés dans le navigateur empêchera les attaques de script de site à site (XSS). |
| Valeur recommandée | Liste des types MIME applicables ou valeur recommandée : text/html,image/svg,image/svg+xml,application/xml |
| Valeur par défaut | Liste des types MIME applicables pour la valeur par défaut : text/html,image/svg,image/svg+xml,application/xml |
| Type de configuration | Chaîne : toutes les valeurs séparées par des virgules des types MIME d’application. |
| Impact fonctionnel | Cette correction renforce la performance des contrôles de validation avant d’effectuer une action lorsque vous cliquez sur une pièce jointe dans une ServiceNow AI Platform application. Il n’y a pas d’impact potentiel, mais l’expérience utilisateur est altérée. |
| Risque de sécurité | (Modéré) Les attaquants peuvent abuser des types MIME et placer du contenu de script non souhaité dans la pièce jointe du côté de la victime pour capturer des informations sensibles. La possibilité d’avoir des XSS peut conduire à une escalade de privilège facilement atteinte vers des rôles plus élevés, tels que l’administrateur, où un mouvement plus latéral peut être effectué. Dans le contexte actuel, renseignez la propriété avec une liste de types MIME séparés par des virgules qui ne doivent pas être affichés en ligne dans le navigateur. |
| Cote de risque de sécurité | 6.4 |
| Propriétés connexes |
|
| Références | Définir les types MIME téléchargeables restreints [Mis à jour dans Centre de sécurité 1.3, 1.5 et 2.0]. |