Microsoft ASP.NET ValidateRequest のフィルターバイパス

medium Nessus プラグイン ID 58601

Language:

概要

リモートホストで使用されている Web アプリケーションのフレームワークは、クロスサイトスクリプティング攻撃の影響を受けやすい可能性があります。

説明

リモートホストから受信した HTTP ヘッダーによると、Web サーバーは ASP.NET フレームワークを使用するように構成されています。

このフレームワークには、ValidateRequest 機能が含まれており、この機能が ASP.NET Web アプリケーションによって使用され、試行でのユーザー入力がフィルターされて、クロスサイトスクリプティング攻撃を防ぎます。ただし、このフィルターのセットは、sole メカニズムが Web アプリケーションによる保護で使用される場合には、バイパスされる可能性があります。

ValidateRequest 機能が安全でない方法で使用されると、Nessus は判断するのに十分な情報をリモートで収集できないため、このプラグインは、「Report Paranoia」構成設定が「Paranoid（more false alarms）」と設定されていると、ASP.NET を使用するすべての Web サーバーをレポートします。実際にセキュリティのリスクが存在しているかを判断するには、マニュアルの検証が必要です。