Querybuilder API會略過Dispatcher篩選器並公開敏感資訊

本文處理Adobe Experience Manager as a Cloud Service (AEMaaCS)中的存取控制問題，該問題中Querybuilder API可以繞過Dispatcher篩選器，潛在地洩露敏感資訊。 解決方法涉及更新設定以封鎖對特定端點的未授權存取。

說明 description

環境
產品： Adobe Experience Manager (AEM) as Cloud Service — 網站

問題/症狀
在URL中使用編碼斜線(%2F)時，對特定端點(例如/bin/querybuilder.json或/etc/truststore.json)的請求會略過Dispatcher篩選器。 這允許未經授權存取內部節點和敏感檔案。

解決方法 resolution

若要解決此問題，請遵循下列步驟：

開啟每個受影響的虛擬主機組態檔。

在組態檔中找到< VirtualHost>標籤。

在< VirtualHost>標籤中新增下列LocationMatch區塊：

< LocationMatch "(？i)/(etc/truststore.json|bin/querybuilder.json)(；|%3B)">
    ProxyPass "！"
< /LocationMatch>

將變更儲存至虛擬主機組態檔。

傳送類似於http://localhost:8082/%2fbin%2fquerybuilder.json？path=/etc的請求以進行測試。 請確保其傳回「404找不到」錯誤，表示在傳回Dispatcher之前，Apache層級已封鎖編碼斜線。