تاثیر
عدم اجرای پیکربندی های حیاتی امنیتی می تواند برنامه های وب را در معرض خطرات سطح مرورگر و سطح حمل و نقل قرار دهد. ابزارهای اسکن خودکار با تجزیه و تحلیل نحوه اعمال استانداردهای وب در HTML، CSS و جاوا اسکریپت [S1] به شناسایی این شکاف ها کمک می کنند. شناسایی زودهنگام این خطرات به توسعه دهندگان اجازه می دهد تا نقاط ضعف پیکربندی را قبل از اینکه توسط بازیگران خارجی [S1] مورد استفاده قرار گیرند، برطرف کنند.
علت اصلی
علت اصلی این آسیبپذیریها حذف هدرهای پاسخ HTTP حیاتی برای امنیت یا پیکربندی نادرست استانداردهای وب [S1] است. توسعه دهندگان ممکن است عملکرد برنامه را در اولویت قرار دهند در حالی که دستورالعمل های امنیتی در سطح مرورگر مورد نیاز برای ایمنی وب مدرن [S1] را نادیده می گیرند.
رفع بتنی
- پیکربندیهای امنیتی حسابرسی: به طور مرتب از ابزارهای اسکن برای تأیید اجرای سرصفحهها و پیکربندیهای مهم امنیتی در برنامه [S1] استفاده کنید.
- به استانداردهای وب پایبند باشید: اطمینان حاصل کنید که پیاده سازی های HTML، CSS و جاوا اسکریپت از دستورالعمل های کدگذاری ایمن که توسط پلت فرم های وب اصلی مستند شده است پیروی می کنند تا وضعیت امنیتی قوی [S1] را حفظ کنند.
چگونه FixVibe آن را آزمایش می کند
FixVibe قبلاً این را از طریق ماژول اسکنر غیرفعال headers.security-headers پوشش می دهد. در طول یک اسکن غیرفعال معمولی، FixVibe هدف را مانند یک مرورگر واکشی می کند و پاسخ HTML ریشه را برای CSP، HSTS، X-Frame-Options، X-Content-Type,Policer-Positions، و برای بررسی می کند. یافتهها منفعل و مبتنی بر منبع میمانند: اسکنر هدر پاسخ ضعیف یا گمشده دقیق را بدون ارسال بارهای بهرهبرداری گزارش میکند.