Einschränken von Datei-Uploads in Adobe Experience Manager Assets
Uneingeschränkte Datei-Uploads in AEM Assets können Sicherheitsrisiken mit sich bringen, z. B. das Risiko, dass bösartige Dateien gespeichert und verteilt werden, das System überlastet wird oder Angriffe auf Backend-Systeme möglich sind. Um diese Risiken zu mindern, ist es wichtig, Uploads auf vom Unternehmen genehmigte Dateitypen zu beschränken und den Inhaltstyp der hochgeladenen Dateien zu validieren.
Beschreibung description
Umgebung
- Adobe Experience Manager Assets (alle unterstützten Versionen, einschließlich AEM as a Cloud Service)
Symptome
- Benutzer können Dateien mit beliebigen Erweiterungen hochladen, einschließlich nicht unterstützter oder potenziell gefährlicher Typen (z. B. .exe).
- Beim Hochladen gibt es keine Einschränkungen oder Validierungen für den Dateityp.
Ursache
Standardmäßig schränkt AEM Assets die Dateitypen beim Hochladen nicht ein. Bei diesem Standardverhalten kann das System Sicherheitslücken aufweisen, wenn es nicht ordnungsgemäß konfiguriert ist.
Lösung resolution
Gehen Sie wie folgt vor, um das Problem zu beheben, dass Benutzer uneingeschränkte oder potenziell gefährliche Dateitypen hochladen können:
-
Melden Sie sich mit Administratorrechten bei AEM an.
-
Navigieren Sie zu Tools
>Assets>Assets-Konfigurationen. -
Klicken Sie Upload-Beschränkungen.
-
Klicken Sie Hinzufügen, um die zulässigen MIME-Typen zu definieren. Beispiel:
-
image/jpeg
-
image/png
-
application/pdf
-
video/mp4
-
-
Fügen Sie bei Bedarf alle geschäftsgenehmigten MIME-Typen hinzu. Sie können mehrere Einträge hinzufügen.
-
Klicken Sie auf Speichern, um die Konfiguration anzuwenden.
-
Testen Sie die Upload-Funktion, indem Sie versuchen, eine Datei mit einer nicht zulässigen Erweiterung (z. B. .exe) hochzuladen. Der Upload sollte jetzt blockiert werden.
-
(Optional) Für mehr Sicherheit sollten Sie eine externe Malware-Scan-Lösung integrieren, um hochgeladene Dateien zu scannen, bevor sie in das Repository aufgenommen werden. Best Practices finden Sie in den allgemeinen Richtlinien zum sicheren Datei-Upload, z. B. in der Dokumentation zum unbeschränkten Datei-Upload in OWASP.
Weitere Informationen finden Sie in der offiziellen Dokumentation: