ASP.NET Core 構成ファイルが検出されました

medium Web App Scanning プラグイン ID 113228

Language:

概要

説明

ASP.NET Core アプリケーションは、複数のプロバイダーおよびソースからのキーと値のペアに基づいて構成データを読み取る可能性があります。JSON 構成プロバイダーを使用することで、「appsettings.json」および「appSettings.{Environment}.json」という名前の予測可能な構成ファイルからデータを取得できます。

開発者は、シークレットやその他の機密情報をこれらの構成ファイルに保存することがあります。攻撃者がこの脆弱性を悪用して、そこにアクセスし、1 つ以上の Web アプリケーションのコンポーネントへの不正な特権アクセスを取得する可能性があります。

ソリューション

適切な権限を設定し、構成ファイルがアプリケーションと一緒にデプロイされていないこと、または少なくとも Web サーバーディレクトリで公開されていないことを確認してください。アプリケーションシークレットは構成ファイルで直接定義せず、代わりに Microsoft シークレットストレージのベストプラクティスに依存する必要があることに注意してください。