Définir les types MIME enfant autorisés [nouveau dans Centre de sécurité 2.0]

Découvrez comment configurer la propriété sur un paramètre sécurisé afin que les glide.security.mime.type.allowed_child_types types de fichiers ne passent pas la vérification de type MIME (Multipurpose Internet Mail Extensions). Cela réduit le risque d’exécution de code à distance sur un fichier téléchargé.

La glide.security.mime.type.allowed_child_types propriété définit les types de fichiers MIME dont l’extension de fichier peut ne pas correspondre aux données d’un fichier chargé. Cela permet à ces types de fichiers de contourner la vérification du type MIME. La propriété accepte une liste de paires de types de fichiers séparées par des virgules, par exemple application/zip=application/java-archive. Dans cet exemple, si la propriété est définie sur une telle valeur, les fichiers avec une extension .zip qui sont techniquement .jar fichiers sont autorisés à passer la vérification de type MIME malgré l’incohérence. S’il n’est pas configuré correctement, ce contournement peut entraîner l’exécution de code à distance d’un fichier téléchargé. Par conséquent, il doit toujours être défini sur une chaîne vide («  ») sauf si un cas d’utilisation valide se présente. Par exemple, si un certain type MIME doit être autorisé sous une extension de fichier différente et est valide selon la configuration Tika, ces paires clé-valeur seront mises à jour dans le cadre de cette valeur de propriété.

En savoir plus

Attribut	Description
Nom de la configuration	glide.security.mime.type.allowed_child_types
Type de configuration	Propriétés système (/sys_properties_list.do)
Type de données	chaîne
Valeur recommandée	""
Valeur par défaut	""
Catégorie	Fichiers et ressources
Risque de sécurité	Score de gravité : 4,6 Score CVSS : moyen Détails du risque de sécurité : si vous ne définissez pas cette propriété sur la valeur sécurisée, des fichiers avec des configurations incorrectes peuvent entraîner l’exécution de code à distance d’un fichier chargé.
Dépendances et prérequis	Oui, lorsque glide.security.mime.type.detection.allow_child_types la valeur est définie sur vrai, les valeurs de cette propriété seront utilisées pour la validation par rapport à la liste configurée des types MIME enfant autorisés.
Impact fonctionnel	Pour prendre en charge les types MIME dont les extensions de fichier ne correspondent pas au contenu des fichiers mais sont valides selon les configurations de sous-type Tika dans tika-mimetypes.xml.