Mitigazione dei rischi di bypass dell’autenticazione in Adobe Experience Manager Assets tramite le regole dei filtri di Dispatcher
Questo articolo spiega come rivedere le regole del filtro Dispatcher per l’endpoint di accesso AEM Assets escluso dall’autenticazione SAML. I filtri di Dispatcher limitano le richieste in base all’URL e al metodo; non autenticano gli utenti né sostituiscono le autorizzazioni dell’archivio AEM. Per affrontare il rischio, verifica l’endpoint e i percorsi di callback SAML, controlla l’ordine dei filtri e le autorizzazioni dell’archivio effettivi e verifica le modifiche in un ambiente non di produzione prima della distribuzione di produzione.
Descrizione description
Ambiente
Ambienti Adobe Experience Manager as a Cloud Service che utilizzano AEM Assets, autenticazione SAML e Dispatcher
Problema/Sintomi
- Una verifica della sicurezza identifica un endpoint di accesso AEM Assets escluso dall’autenticazione SAML.
- La configurazione di Dispatcher non limita le richieste all’endpoint come previsto.
- Il team di sicurezza deve verificare se l’endpoint espone funzionalità o dati a richieste non autenticate.
Causa
Un endpoint escluso da SAML non richiama la richiesta SAML per le richieste a tale percorso. I filtri Dispatcher corrispondono agli attributi della richiesta come URL e metodo; non autenticano il chiamante. Una regola di autorizzazione del filtro non concede le autorizzazioni di autenticazione o sostituzione dell’archivio. Proteggi le funzionalità e i dati sensibili con le autorizzazioni di autenticazione e archivio di AEM applicabili e utilizza Dispatcher come livello aggiuntivo di filtro degli accessi.
Risoluzione resolution
Per risolvere il problema, segui la procedura riportata di seguito.
-
Esaminare le regole del filtro Dispatcher e identificare le voci applicabili all’endpoint di accesso, ad esempio
/libs/granite/core/content/login*. -
Aggiorna la configurazione di Dispatcher per aggiungere le seguenti regole:
- Per impostazione predefinita, rifiuta tutte le richieste al nodo di accesso:
/0100 { /type "deny" /url "/libs/granite/core/content/login*" }- Consenti solo le richieste GET legittime alla pagina di accesso.
/0101 { /type "allow" /method "GET" /url "/libs/granite/core/content/login.html" }- Consenti solo il modulo POST target utilizzato dal flusso di accesso.
/0102 { /type "allow" /method "POST" /url "/libs/granite/core/content/login.html/j_security_check" } -
Verifica che le regole siano ordinate correttamente. Poiché le regole di filtro di Dispatcher utilizzano un modello di valutazione last-match-wins, inserisci la regola di negazione più ampia prima delle regole consentite più specifiche.
-
Distribuisci la configurazione Dispatcher aggiornata in un ambiente non di produzione.
-
Verifica che siano consentite solo le richieste di accesso legittime e che tutte le altre richieste all’endpoint di accesso siano negate.
-
Verificare che il processo di accesso continui a funzionare come previsto.
-
Dopo aver convalidato la configurazione, implementa le modifiche nell’ambiente di produzione.
-
Monitora i registri e i tentativi di accesso per verificare che la vulnerabilità sia attenuata e che i tentativi di accesso non autorizzati siano bloccati.