FixVibe
Covered by FixVibehigh

Qorannoo Saaxilamummaa: SSRF fi Mata duree Nageenyaa Ulaagaa

jedhamuun beekama ZXCVFIXVIBESEG2 Barreeffamni qorannoo kun Soba Gaaffii Gama Sarvarii (SSRF) fi barbaachisummaa mata duree nageenya HTTP eeguu qorata. Hubannoo PortSwigger fi Mozilla irraa argame fayyadamuun, akkaataa ofumaan sakatta'iinsi saaxilamummaawwan kana adda baasuu fi akkamitti FixVibe dandeettii adda baasuu walfakkaataa hojiirra oolchuu akka danda'u qoranna.

CWE-918

jedhamuun beekama ZXCVFIXVIBESEG3

Dhiibbaa

jedhamuun beekama ZXCVFIXVIBESEG4 Soba Gaaffii Gama Sarvarii (SSRF) balaa murteessaa kan haleellaan tokko aplikeeshinii gama sarvarii bakka hin yaadamne [S1] gaaffii akka dhiyeessu kakaasudha. Kunis tajaajiloota keessoo miira namaa kakaasan saaxilamuu, hayyama malee qaqqabummaa dhuma meetadaataa duumessaa, ykn dallaa ibiddaa neetworkii [S1] bira darbuu fiduu danda'a.

jedhamuun beekama ZXCVFIXVIBESEG5

Hundee Sababaa

jedhamuun beekama ZXCVFIXVIBESEG6 SSRF yeroo baay'ee kan uumamu yeroo aplikeeshiniin tokko URL fayyadamaan dhihaate mirkaneessuu gahaa malee adeemsisu, kunis sarvarichi akka bakka bu'aa gaaffii hamaa [S1] akka fayyadamu hayyama. Hanqina sochii qabuun alatti, haala nageenya waliigalaa marsariitii tokkoo qindeessuu mataduree HTTP isaa [S2] tiin dhiibbaa guddaa qaba. Bara 2016 kan eegale, Mozilla’s HTTP Observatory, bulchitoonni balaawwan waliigalaa kana irraa ittisa isaanii akka cimsan gargaaruuf marsariitiiwwan miliyoona 6.9 ol xiinxalee, balaawwan nageenyaa mudachuu danda’an adda baasuu fi furuudhaan [S2].

jedhamuun beekama ZXCVFIXVIBESEG7

Akkamitti FixVibe itti qorata

jedhamuun beekama ZXCVFIXVIBESEG8 FixVibe duraanuu kutaalee mata duree qorannoo kanaa lamaan uwwiseera:

jedhamuun beekama ZXCVFIXVIBESEG9

  • Mirkaneessa SSRF gated: active.blind-ssrf skaaniiwwan sochii qaban mirkanaa'an keessa qofa hojjeta. Innis kanaarii waamicha deebi'ee baandii ala daangeffame gara qajoojiiwwan boca URL fi matadureewwan SSRF-barbaachisoo yeroo sakatta'iinsaa argamanitti erga, sana booda dhimmicha gabaasa yeroo FixVibe waamicha deebi'ee skaanichaan hidhamee fudhatu qofa.

jedhamuun beekama ZXCVFIXVIBESEG10 irratti kan argamu

  • Mata duree walsimsiisuu: headers.security-headers mata duree deebii marsariitichaa to'annoo walfakkaataa browser-hardening kan gamaaggama akkaataa Observatory cimsee, CSP, HSTS, X-Frame-Options, dabalatee, dabarsoodhaan sakatta'a. X-Filannoowwan-Gosa-Qabiyyee, Imaammata-Wabii, fi Imaammata-Eeyyama.

jedhamuun beekama ZXCVFIXVIBESEG11 Qorannoon SSRF gaaffii diigumsaa ykn qaqqabbii mirkanaa'e hin barbaadu. Galmoota mirkanaa'aniif kan daangeffame yoo ta'u maqaa paarameetira qofa irraa tilmaamuun osoo hin taane ragaa waamicha deebi'uu qabatamaa gabaasa.