Definição de tipos MIME filhos permitidos [Novo na Central de segurança 2.0]

Aprenda a definir a propriedade glide.security.mime.type.allowed_child_types para uma configuração segura de modo que os tipos de arquivos não passem pela verificação de tipo MIME (Multi Purpose Internet Mail Extensions). Isso reduz o risco de execução remota de códigos em um arquivo carregado.

A propriedade glide.security.mime.type.allowed_child_types define os tipos de arquivos MIME que podem ter uma extensão de arquivo incompatível com os dados em um arquivo carregado. Com isso, esses tipos de arquivo podem ignorar a verificação de tipo MIME. A propriedade aceita uma lista separada por vírgulas de pares de tipos de arquivo, como application/zip=application/java-archive. Neste exemplo, se a propriedade estiver definida com esse valor, os arquivos com uma extensão .zip que são tecnicamente arquivos .jar poderão passar pela verificação de tipo MIME, apesar da inconsistência. Se a propriedade não for definida corretamente, esse desvio poderá levar à execução remota de códigos de um arquivo carregado. Portanto, ela deve ser sempre definida como uma cadeia de caracteres vazia (""), a menos que haja um caso de uso válido. Por exemplo, se um determinado tipo MIME precisar ser permitido em uma extensão de arquivo diferente e for válido de acordo com a configuração do Tika, esses pares de chave-valor serão atualizados como parte do valor da propriedade.

Mais informações

Atributo	Descrição
Nome da configuração	glide.security.mime.type.allowed_child_types
Tipo de configuração	Propriedades do sistema (/sys_properties_list.do)
Tipo de dados	cadeia de caracteres
Valor recomendado	""
Valor padrão	""
Categoria	Arquivo e recursos
Risco à segurança	Pontuação de gravidade: 4,6 Pontuação do CVSS: média Detalhes do risco à segurança: não definir essa propriedade com o valor seguro pode fazer com que arquivos com configurações incorretas causem a execução remota de códigos de um arquivo carregado.
Dependências e pré-requisitos	Sim, quando glide.security.mime.type.detection.allow_child_types está definida como True, os valores dessa propriedade são usados para validação de acordo com a lista configurada de tipos MIME filhos permitidos.
Impacto funcional	Para dar suporte a tipos MIME com extensões de arquivo que não correspondem ao conteúdo dos arquivos, mas são válidas de acordo com as configurações de subtipo do Tika em tika-mimetypes.xml.