FixVibe
Covered by FixVibemedium

AI үүсгэсэн вэб програмуудад аюулгүй байдлын толгой хэсгийг хангалтгүй хэрэгжүүлсэн байна.

AI-ээр үүсгэгдсэн вэб програмууд нь Агуулгын аюулгүй байдлын бодлого (CSP) болон HSTS зэрэг аюулгүй байдлын үндсэн гарчигуудыг хэрэгжүүлдэггүй. Энэхүү судалгаа нь автоматжуулсан аюулгүй байдлын оноо болон DAST интеграцчлал байхгүй байгаа нь AI программуудад хэрхэн урьдчилан сэргийлэх боломжтой эмзэг байдлыг бий болгож байгааг судалж байна.

CWE-693

Нөлөөлөл

Халдагчид сайт дамнасан скрипт (XSS), товшилт хийх, [S1][S3] дундын машин халдлага хийхдээ хамгаалалтын гарчиг байхгүйг ашиглаж болно. Эдгээр хамгаалалтгүйгээр хэрэглэгчийн нууц мэдээллийг гадагшлуулах боломжтой бөгөөд [S3] хөтчийн орчинд оруулсан хортой скриптүүд нь програмын бүрэн бүтэн байдлыг алдагдуулж болзошгүй юм.

Үндсэн шалтгаан

AI-д суурилсан хөгжүүлэлтийн хэрэгслүүд нь аюулгүй байдлын тохиргооноос илүү функциональ кодыг чухалд үздэг. Иймээс AI-ээр үүсгэгдсэн олон загварууд нь орчин үеийн хөтчүүд [S1]-н хамгаалалтад тулгуурладаг чухал HTTP хариултын толгойг орхигдуулдаг. Цаашилбал, хөгжүүлэлтийн үе шатанд нэгдсэн динамик хэрэглээний аюулгүй байдлын тест (DAST) байхгүй байгаа нь эдгээр тохиргооны цоорхойг [S2]-г байрлуулахаас өмнө ховор илрүүлдэг гэсэн үг юм.

Бетон засвар

  • Аюулгүй байдлын толгой хэсгийг хэрэгжүүлэх: Вэб сервер эсвэл програмын хүрээг Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options X-Frame-Options4 оруулахаар тохируулна уу.
  • Автоматжуулсан оноо: [S1] аюулгүй байдлыг өндөр түвшинд байлгахын тулд толгой хэсгийн байгаа байдал, хүч чадалд тулгуурлан аюулгүй байдлын оноо өгөх хэрэгслийг ашиглана уу.
  • Тасралтгүй скан хийх: Програмын [S2] халдлагын гадаргууд байнгын харагдах байдлыг хангахын тулд автоматжуулсан эмзэг байдлын сканнеруудыг CI/CD дамжуулах хоолойд нэгтгэнэ.

FixVibe үүнийг хэрхэн туршиж үздэг

FixVibe үүнийг идэвхгүй headers.security-headers сканнерийн модулиар дамжуулан аль хэдийн хамарсан. Хэвийн идэвхгүй скан хийх үед FixVibe нь хөтөч шиг зорилтот файлыг татаж, CSP, HSTS, X-Frame-Options, X-Content-Type-Type-Pops, Permissions-ийн утга учиртай HTML болон холболтын хариултуудыг шалгадаг. Мөн модуль нь сул CSP скриптийн эх сурвалжуудыг тэмдэглэж, JSON, 204, дахин чиглүүлэлт болон зөвхөн баримт бичигт хамаарахгүй алдааны хариу үйлдэл дээр хуурамч эерэг мэдээлэл өгөхөөс зайлсхийдэг.