Adobe Experience Manager Assetsでのファイルアップロードの制限
AEM Assetsでファイルを無制限にアップロードすると、悪意のあるファイルが保存および配布される可能性、システムの過負荷、バックエンドシステムに対する攻撃の有効化など、セキュリティリスクが生じる可能性があります。 このようなリスクを軽減するには、アップロードをビジネス承認済みのファイルタイプのみに制限し、アップロードしたファイルのコンテンツタイプを検証することが重要です。
説明 description
環境
- Adobe Experience Manager Assets（AEM as a Cloud Serviceを含むすべてのサポート対象バージョン）
症状
- ユーザーは、サポートされていないファイルや危険なファイルなど、任意の拡張子のファイルをアップロードできます（例：.exe）。
- アップロード中にファイルタイプに制限や検証はありません。
原因
デフォルトでは、AEM Assetsはアップロード中にファイルタイプを制限しません。 このデフォルトの動作は、適切に設定されていない場合、システムをセキュリティ上の脆弱性にさらす可能性があります。
解決策 resolution
ユーザーが無制限または危険な可能性のあるファイルタイプをアップロードできる問題を修正するには、次の手順に従います。
-
管理者権限でAEMにログインします。
-
ツール に移動します
>Assets>Assets設定。 -
「 アップロード制限」をクリックします。
-
追加をクリックして、許可されるMIME タイプを定義します。 次に例を示します。
-
image/jpeg
-
image/png
-
application/pdf
-
video/mp4
-
-
必要に応じて、すべてのビジネス承認済みMIME タイプを追加します。 複数のエントリを追加できます。
-
保存をクリックして、設定を適用します。
-
アップロード機能をテストするには、許可されていない拡張子（.exeなど）を持つファイルをアップロードします。 これで、アップロードをブロックできます。
-
（オプション）セキュリティを強化するには、アップロードされたファイルがリポジトリに受け入れられる前に、外部マルウェアスキャンソリューションを統合して、アップロードされたファイルをスキャンすることを検討してください。 ベストプラクティスについては、OWASPの無制限ファイルアップロードドキュメントなどの一般的なセキュアファイルアップロードガイダンスを参照してください。
詳しくは、公式ドキュメントを参照してください。