| Activer l’état du relais dans les demandes SAML pour prévenir les attaques par relecture |
- Description :
- (Ancien) Lorsque « glide.authenticate.sso.saml2.enable_relay_state_with_id » est défini sur « vrai », le paramètre d’état du relais contient l’ID système d’un enregistrement dans la table vers laquelle l multisso_request_parameter URL de l’état du relais doit être redirigée. Cet état de relais protège contre les attaques par relecture SAML qui peuvent être possibles dans certaines versions d’instance ServiceNow si le glide.authenticate.sso.saml2.enable_relay_state_with_id de propriété est défini sur faux. Les attaques par rejeu permettent à un attaquant bien positionné qui a obtenu l’accès à la demande SAML de soumettre à nouveau une demande valide afin d’obtenir un accès non autorisé à la plate-forme.
- (Nouveau) Protégez-vous contre les attaques par relecture SAML à l’aide de la propriété système glide.authenticate.sso.saml2.enable_relay_state_with_id. Lorsque cette propriété est définie sur vrai, le paramètre d’état du relais contient la sys_id d’un enregistrement dans la table Paramètres de demande MultiSSO [multisso_request_parameter], vers laquelle l’URL de l’état du relais redirige.
Définissez la propriété système glide.authenticate.sso.saml2.enable_relay_state_with_id sur true. Cela permet d’empêcher les attaquants qui ont obtenu l’accès à une demande SAML d’accéder à votre instance en soumettant à nouveau une demande valide. L’état du relais activé par cette propriété système permet de protéger votre instance contre les attaques par relecture. L’activation de la propriété permet d’empêcher les attaquants qui ont obtenu l’accès à une demande SAML d’accéder à votre instance en renvoyant une demande valide.
- Rattrapage :
- (Ancien) Définissez la glide.authenticate.sso.saml2.enable_relay_state_with_id de propriété sur vrai.
- (Nouveau) Définissez la glide.authenticate.sso.saml2.enable_relay_state_with_id de propriété sur vrai. Si la propriété n’existe pas dans la table Propriétés système [sys_properties], la valeur par défaut est faux.
- Risque de sécurité :
- (Ancien) Cet état de relais protège contre les attaques par relecture SAML qui peuvent être possibles dans certaines versions d’instance ServiceNow si le glide.authenticate.sso.saml2.enable_relay_state_with_id de propriété est défini sur faux. Les attaques par rejeu permettent à un attaquant bien positionné qui a obtenu l’accès à la demande SAML de soumettre à nouveau une demande valide afin d’obtenir un accès non autorisé à la plate-forme.
- (Nouveau) L’état du relais activé par cette propriété système permet de protéger votre instance contre les attaques par relecture. L’activation de la propriété permet d’empêcher les attaquants qui ont obtenu l’accès à une demande SAML d’accéder à votre instance en renvoyant une demande valide.
- Impact fonctionnel :
- (Ancien) Lorsque cette propriété est définie sur vrai, l’état du relais dans la demande SAML contiendra l’ID système de l’enregistrement dans la table multisso_request_parameter lequel contient l’URL de l’état du relais vers laquelle la redirection s’effectue.
- (Nouveau) Lorsque cette propriété est définie sur vrai, l’état du relais d’une demande SAML contient l’sys_id d’un enregistrement de la table Paramètres de demande MultiSSO [multisso_request_parameter], qui contient l’URL d’état du relais vers laquelle la redirection s’effectue.
|
| Désactiver la connexion locale pour les utilisateurs avec authentification unique (SSO) activée |
- Nom de la configuration technique
- (Ancien) <vide>
- (nouveau) glide.sso.acr.enabled,glide.authenticate.multisso.enabled
- Description
- (Ancien)
Les propriétaires d’instances ServiceNow sont responsables de la mise en service des comptes d’utilisateur pour leur instance et de la garantie que les utilisateurs peuvent accéder à l’instance de la manière prévue. Lorsqu’un utilisateur, qui n’est pas verrouillé, a un hachage de mot de passe valide sur le champ « sys_user.user_password », cet utilisateur peut effectuer une authentification de base de données locale pour les types d’accès interactifs et non interactifs. Si un utilisateur est également configuré pour utiliser l’authentification SSO, l’authentification de base de données locale peut toujours se faire sans contrôles supplémentaires. En d’autres termes, les utilisateurs SSO disposant d’informations d’identification locales valides peuvent accéder à l’instance, ou à certaines parties de l’instance, avec ces informations d’identification locales. Lorsque l’authentification SSO est activée pour un utilisateur, il est recommandé d’empêcher cet utilisateur de se connecter localement. Cela réduit le risque que les identifiants de connexion locaux valides soient volés et utilisés pour se connecter par un utilisateur malveillant.
- (Nouveau)
Les utilisateurs configurés pour utiliser l’authentification SSO peuvent accéder à l’instance ou à certaines parties de l’instance avec des informations d’identification locales stockées dans le champ user_password de leur enregistrement d’utilisateur [sys_user]. Cet accès s’applique à la fois à l’accès interactif et non interactif pour les utilisateurs qui ne sont pas bloqués. Empêchez les utilisateurs configurés pour SSO d’utiliser des informations d’identification locales afin de réduire les risques de vol d’informations d’identification de connexion locales valides et d’utilisation par des utilisateurs malveillants. Consultez l’article de la base de connaissances Now Support KB1649420 pour obtenir des instructions sur l’identification et le traitement des comptes avec une connexion locale toujours activée sur une instance avec SSO activé.
- Score CVSS
- (Ancien) 5.9
- (Nouveau) 4.2
|
| Désactiver l’utilisation de l’interface utilisateur JQuery héritée |
Valeur de secours
- (Vieux) vrai
- (Nouveau) faux
|
| Appliquer des ACL spécifiques à l’application uniquement pour les données d’application |
- Description
- (Ancien)
Les propriétés au format « glide.enforce_security_scope », telles que « glide.enforce_security_scope.sn_hr_core », contrôlent le comportement des données d’application résidant dans des tables primaires en dehors de l’application, telles que « sys_attachment » ou « sys_email ». Lorsque les propriétés au format ont la valeur « vrai », seules les ACL spécifiques à l’application sont évaluées pour l’accès aux données d’application résidant dans ces tables. Lorsque les propriétés n’ont pas la valeur « vrai », l’accès aux ACL de la table primaire est tout de même évalué, ce qui peut permettre un accès non autorisé ou indésirable aux données d’application. Toutes les applications ne sont pas conçues pour fonctionner dans cette configuration ou ne sont pas équipées d’un enregistrement « sys_properties » à cette fin. Les périmètres d’application suivants contiennent cette propriété :
- sn_uni_task
- sn_uni_req
- sn_svc_appl_info
- sn_professional
- sn_opp_market
- sn_lg_ops
- sn_lg_matter
- sn_lg_contracts
- sn_jny
- sn_ja
- sn_imt_vaccine
- sn_imt_tracing
- sn_imt_health_test
- sn_hr_ws
- sn_hr_va
- sn_hr_sp
- sn_hr_pj
- sn_hr_pad
- sn_hr_mii_base
- sn_hr_le
- sn_hr_hc
- sn_hr_gen_ai
- sn_hr_er
- sn_hr_ef
- sn_hr_core
- sn_hr_awa
- sn_hr_agent_ws
- sn_hc_professional
- sn_gsm_soc_bnfts
- sn_gsm_lic_prmt_ex
- sn_gsm_lic_prmt
- sn_gsm_info_req
- sn_gsm
- sn_em
- sn_egd_goals
- sn_egd_core
- sn_egd_act
- sn_doc
- (Nouveau)
Contrôlez le comportement des données d’application résidant dans des tables primaires en dehors de l’application. Lorsque ces propriétés ont la valeur primaire true, seules les ACL spécifiques à l’application sont évaluées pour accéder aux données d’application résidant dans ces tables. Toutes les applications ne sont pas conçues pour fonctionner dans cette configuration ou n’utilisent pas d’enregistrement de propriété système [sys_properties] à cette fin. Ces propriétés système utilisent la glide.enforce_security_scope. Format d’appellation. Par exemple, utilisez la propriété glide.enforce_security_scope.sn_hr_sp pour le périmètre Core du Centre des employés (sn_hr_sp). Les périmètres d’application suivants contiennent cette propriété :
- sn_doc
- sn_egd_act
- sn_egd_core
- sn_egd_goals
- sn_em
- sn_gsm
- sn_gsm_info_req
- sn_gsm_lic_prmt
- sn_gsm_lic_prmt_ex
- sn_gsm_soc_bnfts
- sn_hc_professional
- sn_hr_agent_ws
- sn_hr_ai_agents
- sn_hr_awa
- sn_hr_core
- sn_hr_ef
- sn_hr_er
- sn_hr_gen_ai
- sn_hr_hc
- sn_hr_le
- sn_hr_le_ent
- sn_hr_mii_base
- sn_hr_na_galileo
- sn_hr_pad
- sn_hr_pj
- sn_hr_sp
- sn_hr_va
- sn_hr_ws
- sn_imt_health_test
- sn_imt_tracing
- sn_imt_vaccine
- sn_ja
- sn_jny
- sn_lg_contracts
- sn_lg_matter
- sn_lg_ops
- sn_opp_market
- sn_professional
- sn_svc_appl_info
- sn_svc_appl_pgm_mg
- sn_talent_aia
- sn_uni_req
- sn_uni_task
Lorsque les propriétés n’ont pas la valeur « vrai », l’accès aux ACL de la table primaire est tout de même évalué, ce qui peut permettre un accès non autorisé ou indésirable aux données d’application.
- Correction
- (Ancien)
Pour toutes les applications installées avec la propriété « glide.enforce_security_scope », telle que « glide.enforce_security_scope.sn_hr_core », dans la table « sys_properties », assurez-vous que la valeur de la propriété est définie sur « vrai ». Ces propriétés ne peuvent être modifiées que par l’administrateur du champ d’application pour l’application spécifique.
- (Nouveau)
Pour chaque application installée avec la propriété glide.enforce_security_scope dans la table Propriétés système [sys_properties], (par exemple, glide.enforce_security_scope.sn_hr_core), assurez-vous que la valeur de la propriété est définie sur vrai. Ces propriétés ne peuvent être modifiées que par l’administrateur du champ d’application pour l’application spécifique. Si un enregistrement sys_properties n’existe pas pour l’application donnée et la propriété respective, il doit être créé. Utilisez cette fonction de script pour identifier les propriétés qui doivent être mises à jour ou créées sur l’instance : var properties = [
'glide.enforce_security_scope.sn_uni_task',
'glide.enforce_security_scope.sn_uni_req',
'glide.enforce_security_scope.sn_svc_appl_info',
'glide.enforce_security_scope.sn_professional',
'glide.enforce_security_scope.sn_opp_market',
'glide.enforce_security_scope.sn_lg_ops',
'glide.enforce_security_scope.sn_lg_matter',
'glide.enforce_security_scope.sn_lg_contracts',
'glide.enforce_security_scope.sn_jny',
'glide.enforce_security_scope.sn_ja',
'glide.enforce_security_scope.sn_imt_vaccine',
'glide.enforce_security_scope.sn_imt_tracing',
'glide.enforce_security_scope.sn_imt_health_test',
'glide.enforce_security_scope.sn_hr_ws',
'glide.enforce_security_scope.sn_hr_va',
'glide.enforce_security_scope.sn_hr_sp',
'glide.enforce_security_scope.sn_hr_pj',
'glide.enforce_security_scope.sn_hr_pad',
'glide.enforce_security_scope.sn_hr_mii_base',
'glide.enforce_security_scope.sn_hr_le',
'glide.enforce_security_scope.sn_hr_le_ent',
'glide.enforce_security_scope.sn_hr_hc',
'glide.enforce_security_scope.sn_hr_gen_ai',
'glide.enforce_security_scope.sn_hr_er',
'glide.enforce_security_scope.sn_hr_ef',
'glide.enforce_security_scope.sn_hr_core',
'glide.enforce_security_scope.sn_hr_awa',
'glide.enforce_security_scope.sn_hr_agent_ws',
'glide.enforce_security_scope.sn_hc_professional',
'glide.enforce_security_scope.sn_gsm_soc_bnfts',
'glide.enforce_security_scope.sn_gsm_lic_prmt_ex',
'glide.enforce_security_scope.sn_gsm_lic_prmt',
'glide.enforce_security_scope.sn_gsm_info_req',
'glide.enforce_security_scope.sn_gsm',
'glide.enforce_security_scope.sn_em',
'glide.enforce_security_scope.sn_egd_goals',
'glide.enforce_security_scope.sn_egd_core',
'glide.enforce_security_scope.sn_egd_act',
'glide.enforce_security_scope.sn_doc',
'glide.enforce_security_scope.sn_talent_aia',
'glide.enforce_security_scope.sn_hr_na_galileo',
'glide.enforce_security_scope.sn_svc_appl_pgm_mg',
'glide.enforce_security_scope.sn_hr_ai_agents',
'glide.enforce_security_scope.sn_hr_mii_base'
];
var pm = new GlidePluginManager();
for (var i = 0; i < properties.length; i++) {
var property = properties[i];
var application = property.split('.')[2];
var propertyValue = gs.getProperty(property, 'false');
if (pm.isActive(application) && propertyValue.toLowerCase() != 'true') {
gs.print(property);
}
}
- Score CVSS
- (Ancien) 5.5
- (Nouveau) 4.1
|
| Empêcher l’emprunt d’identité de l’utilisateur lors de l’affichage des données d’application |
- Description
- (Ancien)
Les propriétés au format « .impersonateCheck », telles que « sn_hr_core.impersonateCheck », contrôlent comment un utilisateur empruntant l’identité peut accéder à des données d’application spécifiques appartenant à un autre utilisateur. Lorsque les propriétés de ce formulaire sont définies sur « vrai », un utilisateur de niveau administrateur empruntant l’identité d’un autre utilisateur ne peut pas accéder aux données spécifiques à l’application appartenant à cet utilisateur. Toutes les applications ne sont pas conçues pour fonctionner dans cette configuration ou ne sont pas équipées d’un enregistrement « sys_properties » à cette fin. Une valeur « faux » pour ces propriétés permet à un utilisateur de niveau administrateur d’emprunter l’identité d’un autre utilisateur et d’accéder aux données de l’application avec l’accès de l’utilisateur dont l’identité a été empruntée. Cela peut être indésirable ou permettre un accès non autorisé aux données dans des contextes d’application spécifiques. Les champs d’application suivants contiennent cette propriété :
- sn_opp_market
- sn_jny
- sn_imt_vaccine
- sn_imt_health_test
- sn_hr_core
- sn_egd_goals
- sn_egd_core
- sn_egd_act
- (Nouveau)
Utilisez les propriétés système pour empêcher un utilisateur empruntant l’identité d’afficher les données de l’application. Empêchez le niveau administrateur d’accéder aux données spécifiques de l’application appartenant à cet utilisateur lorsqu’il emprunte l’identité d’un compte. Cette autorisation peut être définie au niveau de l’application en créant une propriété système spécifique à l’application. Ces propriétés système utilisent le format de dénomination .impersonateCheck (par exemple, sn_hr_core.impersonateCheck). Créez une propriété système avec la valeur vrai pour empêcher les utilisateurs d’accéder aux données spécifiques à l’application appartenant à un autre utilisateur lorsqu’ils empruntent l’identité d’un compte. REMARQUE : toutes les applications ne sont pas conçues pour fonctionner dans cette configuration ou ne disposent pas d’un enregistrement Propriétés système [sys_properties] à cette fin. Les champs d’application suivants sont configurés pour fonctionner avec cette propriété.
- sn_opp_market
- sn_jny
- sn_imt_vaccine
- sn_imt_health_test
- sn_hr_core
- sn_egd_goals
- sn_egd_core
- sn_egd_act
- sn_em
- sn_talent_aia
- Correction
- (Ancien)
Pour toute application ayant la propriété « .impersonateCheck », telle que « sn_hr_core.impersonateCheck », dans la table « sys_properties », assurez-vous que la valeur de la propriété est définie sur « vrai ». Ces propriétés ne peuvent être modifiées que par l’administrateur du champ d’application pour l’application spécifique.
- (Nouveau)
Pour chaque application ayant la propriété .impersonateCheck dans la table Propriétés système [sys_properties], assurez-vous que la valeur de la propriété est définie sur true. Ces propriétés ne peuvent être modifiées que par l’administrateur du champ d’application pour l’application spécifique. Utilisez ce script pour identifier les propriétés qui doivent être mises à jour ou créées sur l’instance : var properties = [
'sn_opp_market.impersonateCheck',
'sn_jny.impersonateCheck',
'sn_imt_vaccine.impersonateCheck',
'sn_imt_health_test.impersonateCheck',
'sn_hr_core.impersonateCheck',
'sn_egd_goals.impersonateCheck',
'sn_egd_core.impersonateCheck',
'sn_egd_act.impersonateCheck',
'sn_em.impersonateCheck',
'sn_talent_aia.impersonateCheck'
];
var pm = new GlidePluginManager();
for (var i = 0; i < properties.length; i++) {
var property = properties[i];
var application = property.split('.')[0];
var propertyValue = gs.getProperty(property, 'false');
if (pm.isActive(application) && propertyValue.toLowerCase() != 'true') {
gs.print(property);
}
}
- Score CVSS
- (Ancien) 4.4
- (Nouveau) 3.8
|
| Échapper à JavaScript [mis à jour dans le centre de sécurité 1.3] |
- Description
- (Ancien) <vide>
- (Nouveau)
La propriété « glide.html.escape_script » permet de nettoyer les champs HTML. Si la propriété « glide.html.escape_script » n’est pas définie sur la valeur conseillée « vrai », les entrées ne seront pas nettoyées pour les champs HTML (codage de sortie) à partir d’un contexte Java back-end en supprimant le JavaScript intégré. Javascript dans les champs HTML peut entraîner des XSS stockés et reflétés.
- Risque de sécurité
- (Ancien) <vide>
- (Nouveau) La possibilité d’avoir des XSS peut conduire à une escalade de privilège facilement atteinte vers des rôles plus élevés tels que l’administrateur.
|
| Activer l’assainisseur HTML [mis à jour dans le centre de sécurité 1.3] |
- Description
- Risque de sécurité
- (Ancien) <vide>
- (Nouveau) La possibilité d’avoir des XSS peut conduire à une escalade de privilège facilement atteinte vers des rôles plus élevés tels que l’administrateur.
|
| Script Jelly d’échappement [mis à jour dans Centre de sécurité 1.3 et 1.5] |
- Description
- (Ancien) <vide>
- (Nouveau)
Cette propriété échappe à toutes les chaînes JS et HTML incluses dans <j :jelly> ... </j :jelly> avant qu’elles ne soient écrites dans le flux de sortie, empêchant ainsi plusieurs problèmes XSS de se produire. Si « glide.ui.escape_all_script » n’est pas défini sur la valeur recommandée « vrai », l’échappement des scripts injectés dans Jelly est désactivé.
- Risque de sécurité
|
|
- Description
- (Ancien) <vide>
- (Nouveau)
Cette propriété active la fonctionnalité « bac à sable de script ». Le bac à sable de script est principalement utilisé lors de l’exécution de scripts générés par le client (tels que les conditions de requête et les expressions GlideAjax). Si la propriété « glide.script.use.sandbox » n’est pas définie sur la valeur conseillée « vrai », la fonctionnalité de bac à sable de script est désactivée.
- Risque de sécurité
- (Ancien) <vide>
- (Nouveau)
Sans le bac à sable de script, les utilisateurs non autorisés/non authentifiés peuvent exécuter un script privilégié arbitraire sur une instance ServiceNow. Cela entraînerait un impact de sécurité complet dans tous les domaines, y compris, mais sans s’y limiter, un accès potentiellement malveillant à toutes les données de l’instance ServiceNow.
|
| Interdire le clonage cible [Nouveau dans Centre de sécurité 1.3] |
- Description
- (Ancien)
Si glide.db.clone.allow_clone_target n’est pas défini sur la valeur recommandée faux, l’instance peut être utilisée comme cible de clone ou comme un enregistrement qui spécifie l’URL d’instance et les informations d’identification utilisées pour le clonage. On parle de clone système lorsque tout ce qui se trouve dans une base de données est copié d’une instance à une autre. Il s’agit d’un risque pour la sécurité, car la base de données d’instance peut être écrasée lors du processus de clonage, entraînant une perte de données et un manque d’intégrité des données. En guise de correction, assurez-vous que glide.db.clone.allow_clone_target est défini sur false.
- (Nouveau)
Protégez votre instance contre l’utilisation comme cible du clone en définissant la propriété système glide.db.clone.allow_clone_target sur faux. Un clone système copie tout ce qui se trouve dans une base de données d’une instance source vers l’instance cible. Il s’agit d’un risque de sécurité, car la base de données d’instance de l’instance cible est écrasée lors du processus de clonage, ce qui entraîne une perte de données et un manque d’intégrité des données.
- Correction
- (Ancien)
Assurez-vous que la propriété « glide.db.clone.allow_clone_target » est définie sur « faux ».
- (Nouveau)
Définissez la propriété système glide.db.clone.allow_clone_target sur faux sur les instances de production afin d'interdire à votre instance d'être sélectionnée comme cible du clone.
- Score CVSS
- (Ancien) 5.9
- (Nouveau) 4.4
- Type de données
- (Ancien) <vide>
- (Nouveau) Booléen
- Valeur prête à l’emploi
- (Ancien) <vide>
- (Nouveau) vrai
|
| Refuser l’accès interne aux rôles externes explicites [Mis à jour dans Centre de sécurité 1.3 et 1.5] |
- Description
- (Nouveau)
Utilisez les propriétés système pour déterminer si le rôle de snc_internal peut être affecté à des utilisateurs externes. Utilisez la propriété système glide.security.explicit_roles.enable_internal_user_blacklist pour empêcher les utilisateurs externes d’être affectés au rôle snc_internal. Lorsque cette propriété est définie sur vrai, elle applique les paramètres de la propriété maint-protected glide.security.explicit_roles.internal_user_blacklist. Cette propriété affecte le rôle snc_external à une liste de classes d’utilisateurs non approuvés. Si glide.security.explicit_roles.enable_internal_user_blacklist est définie sur false, la propriété glide.security.explicit_roles.internal_user_blacklist est ignorée.
- (Ancien) Cette propriété empêche d’affecter le rôle de snc_internal à des utilisateurs externes. Lorsque la propriété « glide.security.explicit_roles.enable_internal_user_blacklist » est définie sur la valeur conseillée « vrai », elle active alors les paramètres de la propriété principale protégée « glide.security.explicit_roles.internal_user_blacklist » qui affecte le rôle « snc_external » à une liste de classes d’utilisateurs non approuvés. Si la valeur est définie sur faux, la propriété « glide.security.explicit_roles.internal_user_blacklist » est ignorée. Une mauvaise configuration de cette propriété augmente le risque qu’un compte d’utilisateur externe accède aux informations internes.
- Applicabilité du module d’extension
- Risque de sécurité
- Type de données
- (Nouveau) Booléen
- (Ancien) <vide>
- Valeur prête à l’emploi
- (Nouveau) vrai
- (Ancien) <vide>
- Valeur de secours
- (Nouveau) faux
- (Vieux) vrai
|
| Restreindre les paramètres OAuth au corps POST [nouveau dans Security Center 1.3] |
- Description
- (Ancien)
Cette propriété contrôle l’acceptation des jetons d’accès par l’authentification OAuth entrante. Les jetons d’accès sont sensibles et ne doivent être acceptés que lorsqu’ils se trouvent dans le corps d’une demande POST.
- (Nouveau)
Utilisez la propriété glide.oauth.allow.parameters.in.post.body.only pour contrôler l’acceptation des jetons d’accès par l’authentification OAuth entrante. Les jetons d’accès sont sensibles et ne doivent être acceptés que lorsqu’ils se trouvent dans le corps d’une demande POST.
- Correction
- (Ancien)
Assurez-vous que la propriété « glide.oauth.allow.parameters.in.post.body.only » est définie sur « vrai ».
- (Nouveau)
Assurez-vous que la propriété « glide.oauth.allow.parameters.in.post.body.only » est définie sur « vrai ». Si la propriété n’existe pas dans la table « sys_properties », la valeur par défaut est « faux ».
- Applicabilité du module d’extension
- (Ancien) <vide>
- (Nouveau) OAuth 2.0
- Risque de sécurité
- (Ancien)
Si la propriété « glide.oauth.allow.parameters.in.post.body.only » n’est pas définie sur la valeur conseillée « vrai », des jetons d’accès peuvent alors être présents dans le paramètre de demande GET, ce qui pourrait persister dans les journaux du client et de l’infrastructure et entraîner la prise de contrôle du compte en cas de fuite de ces journaux.
- (Nouveau)
Si glide.oauth.allow.parameters.in.post.body.only n’est pas défini sur la valeur recommandée true, des jetons d’accès peuvent être présents dans le paramètre de demande GET. Ces jetons d’accès pourraient persister dans les journaux des clients et de l’infrastructure et potentiellement conduire à la prise de contrôle des comptes en cas de fuite de ces journaux.
- Dépendances et prérequis
- (Ancien) <vide>
- (Nouveau) Module d’extension OAuth 2.0
- Type de données
- (Ancien) <vide>
- (Nouveau) Booléen
- Valeur prête à l’emploi
- (Ancien) <vide>
- (Nouveau) vrai
|
| Appliquer les ACL de type GroupBy |
- Description
- (Ancien)
Si « glide.security.groupby_acl_check » n’est pas défini sur la valeur recommandée « Vrai », assurez-vous qu’une table a un attribut « groupby_acl_check » défini afin d’honorer les ACL groupby. Dans les autres cas, il n’y aura pas de vérification des ACL sur les colonnes groupby d’une table. Cela pourrait conduire à la divulgation d’informations.
- (Nouveau)
Utilisez la propriété système glide.security.groupby_acl_check pour configurer votre instance afin d’effectuer des vérifications d’ACL sur les colonnes groupby. Si cette propriété est définie sur la valeur recommandée true, les ACL des colonnes groupby sont respectées par défaut. L’attribut groupby_acl_check d’une table a priorité sur la propriété glide.security.groupby_acl_check. Si la propriété est définie sur false, assurez-vous que l’attribut groupby_acl_check de toute table qui doit avoir des vérifications d’ACL sur les colonnes groupby est défini sur vrai.
- Risque de sécurité
- (Ancien) <vide>
- (Nouveau)
Si « glide.security.groupby_acl_check » est défini sur faux et qu’il n’y a pas d’attribut « groupby_acl_check » sur la table individuelle, les ACL des colonnes groupby ne sont pas respectées, ce qui peut entraîner une fuite d’informations.
- Impact fonctionnel
- Type de données
- (Ancien) <vide>
- (Nouveau) Booléen
- Valeur prête à l’emploi
- (Ancien) <vide>
- (Nouveau) vrai
|
| Exiger la validation des entités XMLdoc2 avec liste d’autorisation |
- Description
- (Ancien)
Si la propriété Glide « glide.stax.whitelist_enabled » n’existe pas dans la table sys_properties ou n’est pas définie sur la valeur recommandée « vrai », toutes les entités externes sont autorisées lorsque la propriété Glide « glide.stax.allow_entity_resolution » est définie sur la valeur « vrai ». Si les personnalisations ne nécessitent pas l’expansion de l’entité, utilisez la propriété « glide.stax.allow_entity_resolution » pour désactiver complètement l’expansion de l’entité externe. Le code XML termine l’analyse, mais n’inclut aucune entité interne ou externe.
- Si vous définissez « glide.stax.allow_entity_resolution » sur vrai, toutes les entités externes tentent de résoudre ou de développer les entités sujets, sous réserve du paramètre de la propriété « glide.stax.whitelist_enabled ».
- Si vous définissez « glide.stax.allow_entity_resolution » sur faux, toute la résolution et l’expansion de l’entité sont bloquées. Pour en savoir plus sur cette propriété, reportez-vous à https://www.servicenow.com/docs/csh?topicname=sc-disable-entity-expansion.html&version=latest.
Lorsque « glide.stax.whitelist_enabled » est défini sur vrai, définissez une liste de FQDN délimités par des virgules dans la propriété « glide.xml.entity.whitelist », qui sont les seules URL pouvant être atteintes à l’aide de la propriété de traitement d’entité XML. Pour en savoir plus, consultez https://www.servicenow.com/docs/csh?topicname=sc-xml-entity-validation-url-allowlist.html&version=latest.
- (Nouveau)
Si la propriété Glide « glide.stax.whitelist_enabled » n’existe pas dans la table sys_properties ou n’est pas définie sur la valeur recommandée « vrai », toutes les entités externes sont autorisées lorsque la propriété Glide « glide.stax.allow_entity_resolution » est définie sur la valeur « vrai ». Si les personnalisations ne nécessitent pas l’expansion de l’entité, utilisez la propriété « glide.stax.allow_entity_resolution » pour désactiver complètement l’expansion de l’entité externe. Le code XML termine l’analyse, mais n’inclut aucune entité interne ou externe.
- Si vous définissez « glide.stax.allow_entity_resolution » sur vrai, toutes les entités externes tentent de résoudre ou de développer les entités sujets, sous réserve du paramètre de la propriété « glide.stax.whitelist_enabled ».
- Si vous définissez « glide.stax.allow_entity_resolution » sur faux, toute la résolution et l’expansion de l’entité sont bloquées. Pour en savoir plus sur cette propriété, reportez-vous à https://www.servicenow.com/docs/csh?topicname=sc-disable-entity-expansion.html&version=latest.
Lorsque « glide.stax.whitelist_enabled » est défini sur vrai, définissez une liste de FQDN délimités par des virgules dans la propriété « glide.xml.entity.whitelist », qui sont les seules URL pouvant être atteintes à l’aide de la propriété de traitement d’entité XML. Pour en savoir plus, consultez https://www.servicenow.com/docs/csh?topicname=sc-xml-entity-validation-url-allowlist.html&version=latest.
- Correction
- (Ancien)
Assurez-vous que la propriété « glide.stax.whitelist_enabled » est définie sur « vrai ».
- (Nouveau)
Assurez-vous que la propriété « glide.stax.whitelist_enabled » est définie sur « vrai » lorsque la propriété Glide « glide.stax.allow_entity_resolution » est définie sur la valeur « vrai ».
|
| Définir les types MIME téléchargeables restreints [Mis à jour dans Centre de sécurité 1.3, 1.5 et 2.0] |
- Description
- (Ancien)
Si « glide.ui.attachment.download_mime_types » inclut des éléments dangereux tels que « text/html,image/svg,image/svg+xml,application/xml », les fichiers dangereux pourraient être affichés en ligne dans le navigateur, ce qui pourrait entraîner des attaques de script Cross Sitte (XSS). Cette propriété correspond à la liste des types MIME de pièce jointe séparés par des virgules qui ne seront pas affichés en ligne dans le navigateur. Par exemple, l’inclusion de text/html forcera le téléchargement des fichiers HTML vers le client en tant que pièces jointes plutôt que leur affichage aligné dans le navigateur. Une gestion correcte de cette liste évite les attaques de script de site à site.
- (Nouveau)
Si glide.ui.attachment.download_mime_types inclut des types MIME dangereux tels que text/html, image/svg, image/svg+xml, application/xml, des fichiers dangereux pourraient être affichés en ligne dans le navigateur, ce qui pourrait entraîner des attaques de script de site à site (XSS). Cette propriété correspond à la liste des types MIME de pièce jointe séparés par des virgules, qui ne s’afficheront pas en ligne dans le navigateur. Par exemple, l’inclusion de texte/html force le téléchargement des fichiers HTML vers le client en tant que pièces jointes plutôt que leur affichage aligné dans le navigateur. La tenue à jour de cette liste empêche les attaques de script de site à site. Si la propriété système glide.ui.attachment.download_mime_types n’inclut pas de types MIME dangereux tels que « text/html, image/svg,image/svg+xml,application/xml », les fichiers dangereux pourraient être affichés en ligne dans le navigateur. Cela peut entraîner des attaques de script de site à site (XSS). Cette vérification n’est pertinente que lorsque glide.ui.attachment.force_download_all_mime_types est définie sur faux. Cette propriété est une liste de types MIME de pièce jointe séparés par des virgules, qui ne sont pas alignés dans le navigateur. Par exemple, l’inclusion de texte/html force le téléchargement des fichiers HTML vers le client en tant que pièces jointes plutôt que leur affichage aligné dans le navigateur.
- Correction
- (Ancien)
Si glide.ui.attachment.force_download_all_mime_types est défini sur faux, vérifiez que la propriété système glide.ui.attachment.download_mime_types inclut les types MIME dangereux « text/html,image/svg,image/svg+xml,application/xml ».
- (Nouveau)
Assurez-vous que la propriété « glide.ui.attachment.download_mime_types » inclut les éléments dangereux « text/html,image/svg,image/svg+xml,application/xml ».
- Risque de sécurité
- Impact fonctionnel
- Dépendances et prérequis
- Type de données
- (Ancien) <vide>
- (Nouveau) Liste de types MIME séparés par des virgules
- Valeur prête à l’emploi
|
| HTML d’échappement dans les vues de listes [Mis à jour dans Centre de sécurité 1.3 et 1.5] |
- Description
- (Ancien)
Cette propriété permet de nettoyer l’affichage en vue liste des champs HTML. Si « glide.ui.escape_html_list_field » n’est pas défini sur la valeur recommandée « vrai », un utilisateur malveillant peut injecter du code HTML dans le champ de formulaire pour exécuter des scripts indésirables sur différentes sessions client/utilisateur. Cela pourrait potentiellement être exploité par des attaquants pour voler des informations de session et des données sensibles.
- (Nouveau)
Définissez glide.ui.escape_html_list_field sur vrai pour empêcher le rendu HTML dans les champs HTML de la vue de liste. Laisser le nettoyage HTML inactif à l’échelle de la plateforme (via la propriété système) ou par champ (via un attribut de schéma) peut entraîner des attaques de type XSS. Les attaques XSS peuvent permettre à un utilisateur ayant des privilèges faibles de détourner la session d’un utilisateur ayant des privilèges élevés ou d’interférer dans les comportements standard des applications Web, y compris les redirections ou les altérations.
- Score CVSS
- (Ancien) 8.8
- (Nouveau) 3.1
- Risque de sécurité
- (Ancien) <vide>
- (Nouveau)
Lorsque l’assainissement HTML est désactivé sur l’ensemble de la plateforme (via les propriétés Glide) ou par champ (attribut de schéma), cela peut entraîner des attaques de style XSS si les utilisateurs ayant peu de privilèges ont accès à l’écriture dans un champ HTML. Les attaques XSS peuvent permettre à un utilisateur ayant des privilèges faibles de détourner la session d’un utilisateur ayant des privilèges élevés ou d’interférer dans les comportements standard des applications Web (redirections ou altération).
- Impact fonctionnel
- (Ancien) <vide>
- (Nouveau)
Par défaut, le HTML peut être rendu (et est assaini) dans la vue de formulaire. Ce même comportement peut être souhaité dans la vue de liste, auquel cas la définition de cette propriété sur « faux » peut être l’expérience préférée. L’impact sur la sécurité sera minime tant que l’assainissement HTML n’est pas désactivé sur l’ensemble de la plateforme ou sur le terrain.
- Type de données
- (Ancien) <vide>
- (Nouveau) Booléen
- Valeur prête à l’emploi
- (Ancien) <vide>
- (Nouveau) vrai
|
| Minimiser le nombre maximal de SMS de réinitialisation du mot de passe par jour |
- Type de données
- (Ancien) <vide>
- (Nouveau) Nombre entier
- Valeur prête à l’emploi
- (Ancien) <vide>
- (Nouveau) 10
- Valeur de secours
|
| Désactiver le téléchargement des fichiers infectés |
Valeur prête à l’emploi
- (Ancien) <vide>
- (Nouveau) vrai
|
| Restreindre l’accès non authentifié aux pièces jointes |
Description
- (Ancien)
Description (ancienne) : si « glide.image_provider.security_enabled » n’est pas défini sur la valeur recommandée « Vrai », toutes les images sont accessibles via des URL se terminant par « .iix ». Cela permettrait un accès non authentifié aux images conduisant à une fuite d’informations sensibles. Cette propriété n’est pas respectée pour les images de la table des pièces jointes où la table d’origine est [sysevent_email_style, sys_home, sys_properties]. La restriction doit être appliquée aux utilisateurs non authentifiés, car certaines pièces jointes peuvent contenir des informations sensibles.
- (Nouveau)
Sécurisez les images sur votre instance pour éviter toute fuite d’informations sensibles. Les images de votre instance sont accessibles via des URL se terminant par .iix. Définissez la propriété système glide.image_provider.security_enabled sur vrai pour empêcher l’accès à vos images via ces URL. Remarque :
Cette propriété n’est pas respectée pour les images de la table des pièces jointes si la table d’origine est l’une des suivantes :
- Papeterie [sysevent_email_style]
- Sections de page d’accueil [sys_home]
- Propriétés système [sys_properties]
La restriction doit être appliquée aux utilisateurs non authentifiés, car certaines pièces jointes peuvent contenir des informations sensibles.
|
| Activer l’authentification multifacteur basée sur les rôles |
Score CVSS
- (Ancien) 8.8
- (Nouveau) 3.1
|
| Maximiser la durée du délai d’expiration de déverrouillage en cas d’échec de la connexion [Mis à jour dans le Centre de sécurité 1.3] |
- Description
- (Ancien)
Si « glide.user.unlock_timeout_in_mins » n’est pas défini sur la valeur recommandée de « 15 », il peut être plus facile d’effectuer une attaque par force brute des comptes dans un délai plus rapide. Cette propriété déverrouille le compte d’utilisateur après la période spécifiée pour la propriété glide.user.unlock_timeout_in_mins. Si aucune valeur n’est spécifiée, le système déverrouille le compte d’utilisateur après la période par défaut de 15 minutes. Si la propriété n’est pas configurée sur une valeur sécurisée et que la durée du verrouillage n’est pas activée, il peut être plus facile d’effectuer une attaque par force brute des connexions de compte dans un délai plus rapide. Cela peut permettre à un utilisateur malveillant d’obtenir un accès non autorisé à l’instance. L’impact sur l’instance sera limité aux privilégiés de la connexion de l’utilisateur affecté en force brute.
- (Nouveau)
Si « glide.user.unlock_timeout_in_mins » n’est pas défini sur au moins la valeur minimale de « 15 », il peut être plus facile d’effectuer une attaque par force brute des comptes dans un délai plus rapide. Cette propriété déverrouille le compte d’utilisateur après la période spécifiée pour la propriété glide.user.unlock_timeout_in_mins. Si aucune valeur n’est spécifiée, le système déverrouille le compte d’utilisateur après la période par défaut de 15 minutes. Si la propriété n’est pas configurée sur une valeur sécurisée et que la durée du verrouillage n’est pas activée, il peut être plus facile d’effectuer une attaque par force brute des connexions de compte dans un délai plus rapide. Cela peut permettre à un utilisateur malveillant d’obtenir un accès non autorisé à l’instance. L’impact sur l’instance sera limité aux privilégiés de la connexion de l’utilisateur affecté en force brute.
- Correction
-
Définissez la valeur de la propriété système glide.user.unlock_timeout_in_mins sur un minimum de 15. Si glide.user.unlock_timeout_in_mins n’existe pas, la durée de verrouillage par défaut est fixée à 15 minutes.
Assurez-vous que l’action des scripts SNC Vérification du verrouillage de l’utilisateur avec déverrouillage automatique (qui se trouve dans la table Action des scripts [sysevent_script_action]) est présente et active. L’action de script Vérification de verrouillage de l’utilisateur SNC avec déverrouillage automatique est installée avec le module d’extension Paramètres de sécurité élevée (com.glide.high_security).
Assurez-vous que la propriété « glide.user.unlock_timeout_in_mins » est définie sur « 15 » ou plus et que l’action des scripts (sysevent_script_action) « Vérification du verrouillage de l’utilisateur SNC avec déverrouillage automatique » est présente et active. Si la propriété Glide « glide.user.unlock_timeout_in_mins » n’existe pas, la valeur sécurisée de « 15 » est attribuée par défaut.
Le « SNC User Lockout Check with Auto Ununlock » est installé avec le module d’extension High Security.
- (Nouveau) 10
|
| Maximiser la durée du délai d’expiration de déverrouillage en cas d’échec de la connexion [Mis à jour dans le Centre de sécurité 1.3] |
Correction
- (Ancien)
Assurez-vous qu'au moins une des actions de script : « Vérification du verrouillage de l'utilisateur SNC » ou « Vérification du verrouillage de l'utilisateur SNC avec déverrouillage automatique » est activée pour gérer les échecs de tentative de connexion. De plus, assurez-vous que la propriété « glide.user.max_unlock_attempts » est définie sur « 5 » ou moins.
- (Nouveau)
Assurez-vous qu'au moins une des actions de script : « Vérification du verrouillage de l'utilisateur SNC » ou « Vérification du verrouillage de l'utilisateur SNC avec déverrouillage automatique » est activée pour gérer les échecs de tentative de connexion. Ces actions des scripts sont stockées dans la table « sysevent_script_action ». De plus, assurez-vous que la propriété « glide.user.max_unlock_attempts » est définie sur « 5 » ou moins.
|
| Définir la durée de vie de l’OTP pour la réinitialisation du mot de passe à 1 heure [Mis à jour dans Centre de sécurité 2.0] |
- Brève description
- (Ancien) Définir la durée de vie de l’OTP pour Réinitialisation du mot de passe à 12 heures ou moins
- (Nouveau) Définir la durée de vie de l’OTP pour la réinitialisation du mot de passe à 1 heure
- Description
- (Ancien)
Cette propriété « glide.pwd_reset.onetime.token.validity » permet au lien contenu dans l’e-mail de réinitialisation du mot de passe d’expirer après le nombre d’heures spécifié dans cette propriété « glide.pwd_reset.onetime.token.validity ». La durée de validité du jeton de réinitialisation du mot de passe doit être aussi courte que possible en fonction de l’expérience utilisateur normale. Avoir une longue durée de validité pour le jeton de réinitialisation du mot de passe peut aider les acteurs malveillants à prendre le contrôle du compte.
- (Nouveau)
Contrôlez la durée du lien dans l’e-mail de réinitialisation du mot de passe. La propriété glide.pwd_reset.onetime.token.validity fait expirer le lien contenu dans l’e-mail de réinitialisation du mot de passe après le nombre d’heures spécifié dans la propriété. La durée de validité d’un jeton de réinitialisation de mot de passe doit être aussi courte que possible sans perturber l’expérience utilisateur normale. Une durée de validité plus longue du jeton de réinitialisation du mot de passe donne aux acteurs malveillants une fenêtre plus large pour effectuer la prise de contrôle du compte si l’e-mail contenant le jeton de réinitialisation est divulgué ou compromis.
- Correction
- (Ancien) Définissez la valeur de la propriété sur 12 heures ou sur une durée de validité plus courte.
- (Nouveau) Définir la valeur de la propriété sur 1 (en heures)
- CVSS
- (Ancien) 5.6
- (Nouveau) 4.6
- Risque de sécurité
- (Ancien) <vide>
- (Nouveau) Une durée de validité plus longue du jeton de réinitialisation du mot de passe donne aux acteurs malveillants une fenêtre plus large pour effectuer la prise de contrôle du compte si l’e-mail contenant le jeton de réinitialisation est divulgué ou compromis.
- Impact fonctionnel
- (Ancien) <vide>
- (Nouveau) Un utilisateur doit réinitialiser son mot de passe dans le nombre d’heures spécifié dans cette propriété. Sinon, ils devront demander un nouveau lien.
- Type de données
- (Ancien) <vide>
- (Nouveau) Entier représentant le nombre d’heures
- Valeur prête à l’emploi
- (Ancien) <vide>
- (Nouveau) 1
- Valeur de secours
|
| Réduire les sessions interactives simultanéess avec le module d'extension de limite de sessions simultanées |
- Brève description
- (Ancien) Limiter les sessions interactives simultanées
- (Nouveau) Le module d’extension Limiter les sessions interactives simultanées lorsque le module d’extension Limite de sessions simultanées est installé
- Applicabilité du module d’extension
- (Ancien) <vide>
- (nouveau) com.glide.limit.concurrent.sessions
|
| Limiter le nombre maximum de pièces jointes dans un e-mail |
- Type de données
- (Ancien) <vide>
- (Nouveau) Nombre entier
- Valeur prête à l’emploi
- (Ancien) <vide>
- (Nouveau) 30
- Valeur de secours
|
| Activer le module d’extension Tables protégées |
- Description
- (Ancien)
Lorsque la propriété Glide « com.glide.security.protected_table.enabled » est définie sur « vrai », le module d’extension Tables protégées est utilisé pour empêcher les utilisateurs avec des privilèges plus élevés sur une instance d’altérer les tables de journal. Les tables de journalisation suivantes disposent de protections spéciales lorsque cette propriété est définie sur « vrai » :
- syslog (configuration non modifiable)
- syslog_transaction
- sys_outbound_http_log
- sysevent
- sys_audit
- sys_push_notification
- protected_table_configuration (configuration non modifiable)
- (Nouveau)
Lorsque la propriété Glide « com.glide.security.protected_table.enabled » est définie sur « vrai », le module d’extension Tables protégées est utilisé pour empêcher les utilisateurs avec des privilèges plus élevés sur une instance d’altérer les tables de journal. Les tables de journalisation suivantes disposent de protections spéciales lorsque cette propriété est définie sur « vrai » :
- syslog (configuration non modifiable)
- syslog_transaction
- sys_outbound_http_log
- sysevent
- sys_audit
- sys_push_notification
- protected_table_configuration (configuration non modifiable)
- syslog_app_scope
L’intégrité des journaux est importante pour déterminer l’activité malveillante sur une instance par un administrateur client.
- Correction
- (Ancien) Définissez la propriété Glide « com.glide.security.protected_table.enabled » sur « vrai ».
- (Nouveau) Définissez la propriété Glide « com.glide.security.protected_table.enabled » sur « vrai ». Cela nécessite un utilisateur disposant du rôle « security_admin ».
- Score CVSS
|
| S’assurer que la création/la suppression des tableaux de bord nécessite une vérification d’accès [Nouveau dans Security Center 1.3 et mis à jour dans la version 2.0] |
- Description
- (Ancien)
La propriété « glide.processors.check_access_before_process » active l’application de l’ACL pour la création ou la suppression de tableaux de bord tant qu’un utilisateur est connecté. Désactiver cette propriété (c’est-à-dire la définir sur faux) permet effectivement un contournement de l’ACL sur les tableaux de bord, ce qui permet à tous les utilisateurs authentifiés ayant peu de privilèges de supprimer et d’ajouter arbitrairement des tableaux de bord. Cette propriété doit toujours être définie sur vrai.
- (Nouveau)
La propriété « glide.processors.check_access_before_process » active l’application de l’ACL pour la création ou la suppression de tableaux de bord. Lorsque la propriété est définie sur « vrai », des contrôles d’accès sont effectués sur les tableaux de bord. Lorsque cette propriété est définie sur « faux », les utilisateurs authentifiés peuvent supprimer et ajouter arbitrairement des tableaux de bord.
- Correction
- (Ancien)
Assurez-vous que la propriété Glide « glide.processors.check_access_before_process » existe et qu’elle est définie sur la valeur « vrai ». Si la propriété n’apparaît pas dans la table sys_properties, ajoutez un nouvel enregistrement.
- (Nouveau)
Définissez la propriété système glide.processors.check_access_before_process sur true. Si la propriété n’apparaît pas dans la table Propriétés système [sys_properties], la valeur de secours est définie sur vrai.
- Risque de sécurité
- (Ancien) <vide>
- (Nouveau) Lorsque cette propriété est définie sur « faux », les utilisateurs authentifiés peuvent supprimer et ajouter arbitrairement des tableaux de bord.
- Impact fonctionnel
- (Ancien) <vide>
- (Nouveau) Les utilisateurs peuvent ne pas avoir accès à la suppression de tableaux de bord comme auparavant. Pour atténuer cet impact fonctionnel, les utilisateurs peuvent se voir accorder un accès standard aux tableaux de bord.
- Valeur de secours
- (Vieux) faux
- (Nouveau) vrai
|
| Définir les rôles d’exception de délai d’expiration de session active |
- Description
- (Ancien)Les délais d’expiration de session active sont une fonctionnalité permettant de s’assurer qu’une session piratée ne peut pas être utilisée indéfiniment sans fournir d’informations d’authentification. Cette propriété contrôle les rôles qui sont exemptés d’une limite de délai d’expiration de session active. Il est recommandé de ne prendre en compte qu’une exception de limite de délai d’expiration de session active pour les rôles de compte d’intégration interne. Si un rôle se voit accorder une exception au délai d’expiration de la session et que ce rôle est donné à un utilisateur victime d’une attaque de détournement de session, un attaquant peut continuer à s’authentifier sur cette session indéfiniment. Cela peut augmenter la portée affectée d’un incident de sécurité en donnant à un attaquant plus de temps pour utiliser un compte piraté.
- (Nouveau)
Utilisez la propriété système glide.active.session.timeout.exception.roles pour exempter les rôles d’une limite de délai d’expiration de session active. La fonction de délai d’expiration de session active permet de s’assurer qu’une session piratée ne peut pas être utilisée indéfiniment sans fournir d’informations d’authentification. Il est recommandé de ne prendre en compte qu’une exception de limite de délai d’expiration de session active pour les rôles de compte d’intégration interne. Envisagez une exception de limite de délai d’expiration de session active uniquement pour les rôles de compte d’intégration interne. Si un utilisateur est victime d’une tentative de détournement de session et qu’il dispose d’un rôle avec une exception, les attaquants utilisant cette session peuvent continuer à s’authentifier sur cette session indéfiniment. Cela peut augmenter l’impact d’un incident de sécurité en donnant à un attaquant plus de temps pour utiliser un compte piraté.
- Correction
- (Ancien)
Assurez-vous que la propriété Glide « glide.active.session.timeout.exception.roles » est définie sur la valeur « edge_encryption mid_server ».
- (Nouveau)
Configurez la propriété glide.active.session.timeout.exception.roles pour les rôles qui doivent être exemptés des délais d’expiration de session active. Cette valeur de propriété est une liste de rôles séparés par des virgules. La valeur par défaut est edge_encryption,mid_server,maint.
- Risque de sécurité
- (Ancien) Considérez uniquement une exception de limite de délai d’expiration de session active pour les rôles de compte d’intégration interne. Si un rôle se voit accorder une exception au délai d’expiration de la session et que ce rôle est donné à un utilisateur victime d’une attaque de détournement de session, un attaquant peut continuer à s’authentifier sur cette session indéfiniment. Cela peut augmenter l’impact d’un incident de sécurité en donnant à un attaquant plus de temps pour utiliser un compte piraté.
- (Nouveau) Considérez une exception de limite de délai d’expiration de session active uniquement pour les rôles de compte d’intégration interne. Si un utilisateur est victime d’une tentative de détournement de session et qu’il dispose d’un rôle avec une exception, les attaquants utilisant cette session peuvent continuer à s’authentifier sur cette session indéfiniment. Cela peut augmenter l’impact d’un incident de sécurité en donnant à un attaquant plus de temps pour utiliser un compte piraté.
- Impact fonctionnel
- (Ancien) <vide>
- (Nouveau) Les rôles ajoutés à cette liste seront exemptés de la limite de délai d’expiration de session active.
- Type de données
- (Ancien) <vide>
- (Nouveau) Liste de rôles séparés par des virgules
- Valeur prête à l’emploi
- (Ancien) <vide>
- (Nouveau) edge_encryption,mid_server,maint
- Valeur de secours
- (Vieux) edge_encryption mid_server
- (Nouveau) edge_encryption,mid_server,maint
|
| Limiter la taille du corps de la réponse HTTP [nouveau dans Centre de sécurité 1.3 et mis à jour dans la version 1.5] |
- Type de données
- (Ancien) <vide>
- (Nouveau) Booléen, entier
- Valeur prête à l’emploi
- (Ancien) <vide>
- (Nouveau) vrai,524288000
|