Nginx Cloud Storage HTTP 分割

medium Web App Scanning プラグイン ID 113642

Language:

概要

説明

スキャナーは、Nginx 構成に、クラウドストレージインスタンスをクエリするためのディレクティブの場所が指定されていることを検出しました。ただし、改行を含む任意のペイロードを挿入できるため、悪意のある攻撃者が、照会するクラウドストレージインスタンスを変更する可能性があります。

したがって、攻撃者がコントロールするクラウドストレージから任意のコンテンツを注入する可能性があります。

ソリューション

悪意のあるインジェクションを防ぐために、開発者は信頼できないユーザー入力から直接派生した式の評価を回避する必要があります。アプリケーションでこのタイプの入力が依然として必要な場合は、許可リストの使用による、または特殊文字使用のフィルタリングによる、高度な式のインジェクションを回避するために、ユーザー指定のデータを厳密に検証する必要があります。