stormtrooper
2019-08-13 13:34:53 UTC
Unsere Webanwendung verwendet eine HTML-Datei, in die jQuery eingebettet ist. Gemäß der jQuery-Lizenz ( https://jquery.org/license/) müssen wir den Lizenzheader intakt lassen, einschließlich die Versionsnummer.
Unser Kunde berichtete, dass die Kombination aus Produkt und Version ein Sicherheitsrisiko darstellt. Seltsamerweise wird die Bootstrap-Version in derselben Datei nicht als Sicherheitsrisiko gemeldet.
Viele Anwendungen verwenden Bibliotheken mit Versionsnummern. Es ist sogar möglich, Versionsnummern abzurufen, indem Sie Code in Firebug oder in der Chrome Developer Console ausführen.
Unter welchen Umständen führt diese "Sicherheitsfehlkonfiguration" ( https://www.owasp.org/index) dazu. php / Top_10-2017_A6-Security_Misconfiguration) gelten für die Anzeige von Produkt- und Versionsnummer? Und wie können wir dieses Problem beheben, ohne die jQuery-Lizenz zu verletzen?
Ich denke, Sie haben einen logischen Fehler darin, dass die Offenlegung von Informationen als Sicherheitsfehlkonfiguration gleichgesetzt wird.Sie sind in keiner Weise gleich oder verwandt.
"* Seltsamerweise wird die Bootstrap-Version in derselben Datei nicht als Sicherheitsrisiko gemeldet. *" Möglicherweise haben sie die jQuery-Versionsnummer zufällig entdeckt und dies gemeldet.Oder sie denken, dass es überflüssig ist, jede gefundene Versionsnummer nicht zu überprüfen.Oder ihr automatisiertes Tool hat gerade das jQuery entdeckt.So wie Software niemals fehlerfrei ist, weil der Programmierer nicht an jeden Randfall denkt oder jede Eigenart kennt (oder vielleicht nicht genug Zeit dafür hat), ist Pentesting auch ein ungenaues Geschäft.
Das Entfernen der Versionsnummer aus der Lizenzdatei würde Ihnen sowieso nicht helfen, da ein Angreifer einfach manuell überprüfen kann, welche Version Sie verwenden.
@MechMK1 nicht, wenn Sie nicht erreichbaren Code (wie `if (true === false) {}`) oder zufällige Leerzeichen irgendwo / überall hinzufügen, dann könnten ihre automatischen Matcher nicht definitiv mit einer Version übereinstimmen.
@MonkeyZeus Wenn Sie eine naive exakte Übereinstimmung verwenden, dann haben Sie Recht.Wenn Sie jedoch nach einem gewissen Grad an Ähnlichkeit suchen, sehen geringfügige Änderungen an jQuery 3.1.7 immer noch zu 99,8% wie jQuery 3.1.7 aus.
@MechMK1 Es wurde unzählige Male erwähnt, dass, wenn ein Angreifer Sie gezielt angreift, nichts davon von Bedeutung ist, insbesondere wenn es um Code geht, der wie JS an den Client gesendet wird. Wenn Sie jedoch nur versuchen, Script-Kiddies zu vermeiden, hilft selbst die geringste Dunkelheit.Die eigentliche Sicherheitsfehlkonfiguration verwendet eine anfällige Version.Selbst wenn Sie keine anfällige Version verwenden, ist es kinderleicht, den Browser dazu zu bringen, eine anfällige Version zu verwenden.Ganz ehrlich, wenn Ihre Website aufgrund von JS anfällig ist, machen Sie aus Sicherheitsgründen etwas falsch.
@MonkeyZeus Ja, ich bin mir bewusst, aber das war nicht wirklich der Punkt.Script Kiddies verwenden gut gemachte automatisierte Tools, keine schlecht gemachten selbstgeschriebenen.Jeder grundlegende Webapp-Analysator kann eine modifizierte jQuery-Version identifizieren. Wenn Sie also versuchen, sie zu verschleiern, führt dies nur zu Problemen und zu keinem Sicherheitsvorteil.Obwohl ich gerne wissen möchte, wie Sie einen Browser veranlassen würden, eine anfällige jQuery-Version zu verwenden, wenn die Site eine Version ohne bekannte Vulns enthält.
@MechMK1 Kopieren + Einfügen + In das Konsolenfenster eingeben: `var script = document.createElement ('script');script.type = 'text / javascript';script.src = 'https://ajax.googleapis.com/ajax/libs/jquery/1.2.3/jquery.min.js';document.head.appendChild (Skript);alert (jQuery.fn.jquery); `
Wenn Sie Zeit damit verbringen, clientseitige Bibliotheksversionen auszublenden, anstatt Zeit damit zu verbringen, echte Sicherheitsprobleme zu beheben, sind Sie möglicherweise anfälliger.
@MonkeyZeus Ja, aber Sie können dies nur sich selbst antun, nicht anderen.Sie konnten mich beispielsweise nicht dazu bringen, eine anfällige jQuery-Version zu verwenden.
Ich sehe auf https://jquery.org/license/ keinen Hinweis darauf, dass die Versionsnummer intakt bleiben muss.Es heißt, der Copyright-Header muss ... solange Sie das `Copyright 2005, 2014 jQuery Foundation, Inc. und andere Mitwirkende haben;Veröffentlicht unter der MIT-Lizenz;http: // jquery.org / license` Ich würde nicht erwarten, dass sie ein Auge schlagen.
@ceejayoz Wie bereits erwähnt, würde es Ihnen sowieso nicht helfen, die Version zu verschleiern.
@MechMK1 Sicher, aber es würde OP helfen, den Sicherheitsscanner des Kunden vom Rücken zu bekommen.
@ceejayoz "Beheben" von Problemen, damit der Scanner nicht mehr klagt, ist eines der schlimmsten Dinge, die Sie tun können.Sicher, das Löschen einer Version in einer Lizenzdatei reicht nicht aus, aber es ist der grundlegend falsche Ansatz.Aus diesem Grund ist der Debian PRNG-Fehler entstanden.
@MechMK1 Solange OP über eine sichere Version von jQuery verfügt, ist das Scannerergebnis hier * falsch positiv *.Ich befürworte nicht, eine unsichere Version zu vertuschen.Ich sage, dass die gekennzeichnete Versionsoffenlegung auf diese Weise sicher behandelt werden kann.
@ceejayoz Ja, das stimmt, und in diesem speziellen Fall würde ich kein Problem damit sehen.Aber ich würde argumentieren, dass es im Allgemeinen besser ist, zu lernen, wie man Berichte als falsch positiv kennzeichnet, als einen "Fix" zu beschleunigen und zu implementieren.
@MechMK1 Fair genug, dem kann ich zustimmen.