Impor verificação de lista de permissões de URL [Atualizado na Central de segurança 1,3, 1,5 e 2,0]

  • Versão de lançamento: Zurich
  • Atualizado 31 de jul. de 2025
  • 1 min. de leitura

    • Use glide.security.url.whitelistPropriedade do sistema para adicionar camada extra de validação para garantir se qualquer URL externa introduzida deve fazer parte dos URLs listados na inclusão.

    Proteja seus usuários contra redirecionamento aberto do lado do cliente, que permite que os invasores redirecionem seus usuários para páginas mal-intencionadas e não confiáveis.

    Se glide.security.url.whitelist.strict_check não está definido com o valor recomendado de verdadeiro Todos os URLs externos são permitidos para redirecionamento, desde que glide.security.url.whitelist a propriedade do sistema está vazia. Se glide.security.url.whitelist Não está vazio, então somente URLs externos listados nessa propriedade são permitidos.

    Definido glide.security.url.whitelist.strict_check . verdadeiro ou certifique-se de que glide.security.url.whitelist Está configurado com os URLs externos permitidos para ajudar a proteger sua instância contra ataques de redirecionamento em aberto.

    Esta propriedade é aplicável nos seguintes casos:
    • /logout.do?sysparm_goto_url={External URL}
    • /cms_login_redirect.do?sysparm_goto_url={External URL}
    Os usuários são direcionados para um site externo confiável após fazerem logout da instância:
    • /logout_redirect.do?sysparm_url={External URL}
    • /saml_redirector.do?sysparm_uri={External URL}

    Quando o SAML está habilitado, ele invoca um URL de logout do IDP (identity provider, provedor de identidade).

    Certifique-se da propriedade glide.security.url.whitelist.strict_checkestá definido como verdadeiro ou a propriedade glide.security.url.whitelistdefinido como um valor.

    Mais informações

    Atributo Descrição
    Nome da propriedade glide.security.url.whitelist
    Tipo de configuração Propriedades do sistema (/sys_properties_list.do)
    Categoria Validação, limpeza e codificação
    Finalidade Implementar o redirecionamento de URL seguro durante o login, logout ou outros redirecionamentos. Esta propriedade atenua um dos 10 principais ataques da OWASP, chamados de redirecionamentos e encaminhamentos inválidos.
    Tipo Cadeia de caracteres
    Valor padrão verdadeiro
    Valor recomendado verdadeiro
    Valor Os URLs aprovados da sua organização [Alguns FQDN (Fully Qualified Domain Name, Nome de domínio completo) definidos, por exemplo, http://www.servicenow.com.br]
    Classificação de risco de segurança 6.3
    Impacto funcional Esta correção impõe a validação na página de logout. Isso pode ter um impacto funcional em um usuário de uma instância com uma configuração SSO/SAML.
    Risco à segurança (Alto) O redirecionamento aberto do lado do cliente pode permitir que o invasor redirecione as vítimas/usuários para o site controlado pelo invasor e é visto como um risco à segurança.
    Referências

    Correções e erros de Multi-SSO (SAML 2.0)

    Para saber mais sobre como adicionar ou criar uma propriedade do sistema, consulte Add a system property.