安全でないクライアントアクセスポリシー

low Web App Scanning プラグイン ID 98065

Language:

概要

安全でないクライアントアクセスポリシー

説明

ブラウザのセキュリティモデルは、通常、あるドメインの Web コンテンツが別のドメインのデータにアクセスすることを防ぎます。これは一般に「同一生成元ポリシー」として知られています。

URL ポリシーファイルは、データを読み取るためのクロスドメイン権限を付与します。デフォルトでは許可されていない操作を許可します。Silverlight の URL ポリシーファイルは、デフォルトで「ClientAccessPolicy.xml」という名前のターゲットサーバーのルートディレクトリにあります (例:「www.example.com/ClientAccessPolicy.xml」)。

「ClientAccessPolicy.xml」でドメインが指定されている場合、サイトは、そのドメイン内の任意のサーバーのオペレーターによる、ポリシーファイルが存在するサーバー上の任意のドキュメントの取得を許可することを宣言します。

この Web サイトに展開された「ClientAccessPolicy.xml」ファイルは、すべてのドメインに対してサーバーを開き (純粋なワイルドカードとして 1 つのアスタリスク「*」の使用がサポートされます)、適用済みの構成に依存する HTTPS を介した HTTPS リソースへのアクセスを許可する場合があり、サードパーティに対して HTTPS で保護され、中間者攻撃を容易にするデータが漏洩する可能性があります。