INNOVA Research Journal 2020, Vol 5, No. 3.1, pp. 263-280
Riesgo
¿La aplicación es vulnerable?
Prevención
dentro de la seguridad federada o
para propósitos de Single Sign-On
ingreso de datos dañinos dentro de
documentos, cabeceras y nodos XML.
• Verifique que la funcionalidad de
carga de archivos XML o XSL valide
el XML entrante, usando validación
XSD o similar.
(SSO). SAML utiliza XML para
garantizar la identidad de los
usuarios y puede ser vulnerable.
•
La aplicación utiliza SOAP en
una versión previa a la 1.2 y, si las
entidades XML son pasadas a la
infraestructura SOAP,
probablemente sea susceptible a
ataques XXE.
• Las herramientas SAST pueden
ayudar a detectar XXE en el código
fuente, aunque la revisión manual de
código es la mejor alternativa en
aplicaciones grandes y complejas.
• Si estos controles no son posibles,
considere usar parcheo virtual,
gateways de seguridad de API, o
Firewalls de Aplicaciones Web
•
Ser vulnerable a ataques XXE
significa que probablemente la
aplicación también es vulnerable a
ataques de denegación de servicio,
incluyendo el ataque Billion Laughs. (WAFs) para detectar, monitorear y
bloquear ataques XXE.
•
Pasar por alto las
•
Con la excepción de los recursos
comprobaciones de control de
acceso modificando la URL, el
estado interno de la aplicación o
HTML, utilizando una herramienta
de ataque o una conexión vía API.
públicos, la política debe ser denegar
de forma predeterminada.
•
control de acceso una vez y reutilícelo
en toda la aplicación, incluyendo
minimizar el control de acceso HTTP
Implemente los mecanismos de
•
Permitir que la clave primaria se
cambie a la de otro usuario,
pudiendo ver o editar la cuenta de
otra persona.
(
CORS).
•
Los controles de acceso al modelo
deben imponer la propiedad (dueño) de
los registros, en lugar de aceptar que el
usuario puede crear, leer, actualizar o
eliminar cualquier registro.
•
Elevación de privilegios. Actuar
como un usuario sin iniciar sesión, o
actuar como un administrador
habiendo iniciado sesión como
usuario estándar.
Pérdida de
Control de
Acceso
•
Los modelos de dominio deben
hacer cumplir los requisitos exclusivos
de los límites de negocio de las
aplicaciones.
•
Manipulación de metadatos,
como reproducir un token de control
de acceso JWT (JSON Web Token),
manipular una cookie o un campo
oculto para elevar los privilegios, o
abusar de la invalidación de tokens
JWT.
•
Deshabilite el listado de directorios
del servidor web y asegúrese que los
metadatos/fuentes de archivos (por
ejemplo de GIT) y copia de seguridad
no estén presentes en las carpetas
públicas.
•
La configuración incorrecta de
CORS permite el acceso no
autorizado a una API.
•
•
Registre errores de control de acceso
y alerte a los administradores cuando
corresponda (por ej. fallas reiteradas).
Forzar la navegación a páginas
autenticadas como un usuario no
Esta obra se comparte bajo la licencia Creative Common Atribución-No Comercial 4.0 International (CC BY-NC 4.0)
Revista de la Universidad Internacional del Ecuador. URL: https://www.uide.edu.ec/
272