Definir tipos secundários MIME permitidos [Novo na Central de segurança 2,0]

Saiba como configurar o. glide.security.mime.type.allowed_child_typesUma configuração segura para que os tipos de arquivo não passem pela verificação de tipo MIME (Multipurpose Internet Mail Extensions). Isso reduz o risco de execução remota de código em um arquivo carregado.

. glide.security.mime.type.allowed_child_typesA propriedade define os tipos de arquivo MIME que podem ter uma extensão de arquivo que não corresponde aos dados em um arquivo carregado. Isso permite que esses tipos de arquivo ignorem a verificação de tipo MIME. A propriedade aceita uma lista separada por vírgulas de pares de tipos de arquivo, como application/zip=application/java-archive. Neste exemplo, se a propriedade estiver definida com esse valor, os arquivos com .zip extensão que são tecnicamente .jar Os arquivos têm permissão para passar na verificação de tipo MIME, apesar da inconsistência. Se não definido corretamente, esse desvio pode levar à execução remota de código de um arquivo carregado. Portanto, ele sempre deve ser definido como uma cadeia de caracteres vazia (""), a menos que surja um caso de uso válido. Por exemplo, se um determinado tipo MIME precisar ser permitido em uma extensão de arquivo diferente e for válido de acordo com a configuração Tika, esses pares de chave-valor serão atualizados como parte deste valor de propriedade.

Mais informações

Atributo	Descrição
Nome da configuração	glide.security.mime.type.allowed_child_types
Tipo de configuração	Propriedades do sistema (/sys_properties_list.do)
Tipo de dados	cadeia de caracteres
Valor recomendado	""
Valor padrão	""
Categoria	Arquivo e recursos
Risco à segurança	Pontuação de gravidade: 4,6 Pontuação do CVSS: média Detalhes do risco à segurança: Não definir esta propriedade com o valor seguro pode fazer com que arquivos com configurações incorretas levem à execução remota de código de um arquivo carregado.
Dependências e pré-requisitos	Sim, quando glide.security.mime.type.detection.allow_child_typesDefinido como verdadeiro, os valores desta propriedade serão usados para validação em relação à lista configurada de tipos secundários MIME permitidos.
Impacto funcional	Para oferecer suporte a tipos MIME cujas extensões de arquivo não correspondem ao conteúdo dos arquivos, mas são válidas de acordo com as configurações de subtipo Tika em tika-mimetypes.xml.