허용된 MIME 하위 유형 설정[Security Center 2.0의 새로운 기능]
파일 형식이 MIME(Multipurpose Internet Mail Extensions) 형식 검사를 통과하지 않도록 속성을 보안 설정으로 구성하는 glide.security.mime.type.allowed_child_types 방법을 알아봅니다. 이렇게 하면 업로드된 파일에서 코드를 원격으로 실행할 위험이 줄어듭니다.
이 glide.security.mime.type.allowed_child_types 속성은 업로드된 파일 내의 데이터와 일치하지 않는 파일 확장자를 가질 수 있는 MIME 파일 유형을 정의합니다. 이렇게 하면 이러한 파일 형식이 MIME 형식 검사를 무시할 수 있습니다. 이 속성은 와 같이 application/zip=application/java-archive쉼표로 구분된 파일 형식 쌍의 목록을 허용합니다. 이 예제에서 속성이 이러한 값으로 설정된 경우 기술적으로 .jar 파일인 .zip 확장명을 가진 파일은 불일치에도 불구하고 MIME 형식 검사를 통과할 수 있습니다. 제대로 설정되지 않은 경우 이 바이패스는 업로드된 파일의 원격 코드 실행으로 이어질 수 있습니다. 따라서 유효한 사용 사례가 발생하지 않는 한 항상 빈 문자열("")로 설정해야 합니다. 예를 들어 특정 MIME 유형이 다른 파일 확장자로 허용되어야 하고 Tika 구성에 따라 유효한 경우 해당 키-값 쌍은 이 속성 값의 일부로 업데이트됩니다.
추가 정보
| 속성 | 설명 |
|---|---|
| 구성 이름 | glide.security.mime.type.allowed_child_types |
| 구성 유형 | 시스템 속성(/sys_properties_list.do) |
| 데이터 유형 | 문자열 |
| 권장 값 | "" |
| 기본값 | "" |
| 범주 | 파일 및 자원 |
| 보안 위험 |
|
| 의존성 및 필수 구성요소 | 예, 예로 설정될 경우 glide.security.mime.type.detection.allow_child_types 이 속성의 값을 사용하여 허용되는 MIME 하위 유형의 구성된 목록과 비교하여 유효성을 검사합니다. |
| 기능적 영향 | 파일 확장자가 파일의 내용과 일치하지 않지만 의 tika-mimetypes.xmlTika 하위 유형 구성에 따라 유효한 MIME 유형을 지원하려면 . |