CORS с wildcard: почему * нельзя использовать с credentials
Слишком широкая политика CORS может разрешить нежелательным сайтам обращаться к API.
Коротко о главном
- Чем опасно
- Слишком широкая политика CORS может разрешить нежелательным сайтам обращаться к API.
- С чего начать защиту
- Проверьте настройку по официальной документации поставщика и ограничьте доступ принципом наименьших привилегий.
- Как подтвердить
- Нужны ручной аудит и проверка реализации. Отсутствие находок во внешнем скане не подтверждает безопасность.
- Продукт
- API и OpenAPI
- Оценка риска
- Уровень зависит от конфигурации
Как проверить и что учитывать
Нужна ручная проверка
Внешняя проверка может показать безопасный признак «CORS wildcard», но не подтверждает конфигурацию, версию или успешную эксплуатацию. FindRisk не заявляет автоматическое обнаружение этого сценария; итог требует проверки владельцем системы. Не делайте вывод о наличии уязвимости только по одному внешнему признаку: подтвердите результат в настройках и версии компонента.
Что означает этот риск
Слишком широкая политика CORS может разрешить нежелательным сайтам обращаться к API.
Материал отвечает на практический вопрос: CORS credentials.
Чем это опасно
Слишком широкая политика CORS может разрешить нежелательным сайтам обращаться к API.
- Расширение поверхности атаки
- Раскрытие или изменение данных при наличии дополнительных условий
Как защититься
Проверьте настройку по официальной документации поставщика и ограничьте доступ принципом наименьших привилегий.
Проверяйте настройку в инфраструктуре и документации поставщика, а не только по внешнему баннеру.
Как проверить безопасно
Проверяйте только собственный ресурс: CORS wildcard. Внешний ответ является поводом для ручной проверки и не доказывает наличие уязвимости.
Как защититься
- 1Проверьте настройку по официальной документации поставщика и ограничьте доступ принципом наименьших привилегий.
- 2Зафиксируйте владельца настройки, добавьте проверку в процесс релиза и повторите контроль после изменения.
Как проходит проверка
Внешняя проверка может показать безопасный признак «CORS wildcard», но не подтверждает конфигурацию, версию или успешную эксплуатацию. FindRisk не заявляет автоматическое обнаружение этого сценария; итог требует проверки владельцем системы. Автоматический результат показывает внешний признак риска и требует проверки специалистом с учётом конкретной конфигурации.
Проверить другие внешние рискиЧто делать после обнаружения
- Сохраните минимальные технические сведения без выгрузки чужих данных.
- Ограничьте риск и проверьте журналы доступа.
- После исправления повторите безопасную проверку и обновите инвентаризацию.
Частые вопросы
Что означает риск «CORS wildcard»?
Слишком широкая политика CORS может разрешить нежелательным сайтам обращаться к API.
Можно ли подтвердить проблему только внешней проверкой?
Внешняя проверка может показать безопасный признак «CORS wildcard», но не подтверждает конфигурацию, версию или успешную эксплуатацию. FindRisk не заявляет автоматическое обнаружение этого сценария; итог требует проверки владельцем системы. Итог нужно сопоставить с конфигурацией, версиями и правами доступа на вашем сайте.
Что сделать в первую очередь?
Проверьте настройку по официальной документации поставщика и ограничьте доступ принципом наименьших привилегий.