問題
-
セキュリティ・レイヤーがブロックするURLには、"@"や"$"のような特定の変数や特殊文字が含まれている。 セキュリティルールの中には、LiferayのデフォルトJSファイルをダウンロードするときに使用するURLに"@"や"$"などの特殊文字を許可しないものがあります。
環境
- Liferay DXP [全バージョン］
解像度
-
LiferayにはXSS攻撃を防ぐためのサポートがあり、ファイアウォールフィルタをトリガーしないように製品の改善に継続的に取り組んでいます。
- クロスサイト・スクリプティング(XSS)を防ぐため、ユーザーが入力した値は出力時にエスケープされます。 統合機能をサポートするために、Liferay DXPは入力をエンコードしません。 データは、ユーザーによって提出されたオリジナルの形式で保存されます。 Liferay DXPには、CSRF攻撃、ローカルファイルインクルージョン、オープンリダイレクト、危険なタイプのファイルのアップロードと提供、コンテンツスニッフィング、クリックジャッキング、パストラバーサル、その他多くの一般的な攻撃に対する防御が組み込まれています。 ここで見ることができます： Introduction-to-Securing-Liferay-DXP
- 誰もが独自のルールを持っている可能性があり、特定のURLや文字を予測することは不可能であるため、ユーザーはWAFを調整し、Liferay固有の悪意のないリクエストを許可する必要がある。
- WAFでXSSのルールを実装することは不要であり、Liferayのインストールを壊してしまうので、やらないことをお勧めします。 一方、リンクのエンコーディングを変更すると、他のお客様の既存のファイアウォールの設定が壊れる可能性があります。
- 残念なことに、このような設定を支援するための公式なドキュメントは、特に複数のWAFプロバイダーが存在することを考えると、今のところありません。
- その結果、コンシューマができることは、ファイアウォールルールを調整するか、特定のDXPアップデートのportal-ext.propertiesファイルを参照することである。
- また、特定のLiferay URLを自分の環境でホワイトリストに登録できるかどうか確認することで、このプロセスを迅速に行うことができます。
追加情報