Appliquer la vérification de la liste d’autorisations d’URL
Utilisez cette glide.security.url.whitelist propriété pour ajouter une validation supplémentaire afin de garantir que toute URL externe introduite doit faire partie des URL sur liste d’inclusion.
La redirection ouverte se produit lorsqu’une page Web vulnérable est redirigée vers une page non fiable et malveillante susceptible de compromettre l’utilisateur. Les attaques de redirection ouverte s’accompagnent d’une attaque de phishing, car le lien vulnérable modifié est identique au site d’origine, ce qui augmente les chances de succès de l’attaque de phishing.
/logout.do ?sysparm_goto_url={URL externe}/cms_login_redirect.do ?sysparm_goto_url={URL externe}
/logout_redirect.do ?sysparm_url={URL externe}/saml_redirector.do ?sysparm_uri={URL externe}
Lorsque SAML est activé, il appelle une URL de déconnexion du fournisseur d’identité (IDP).
En savoir plus
| Attribut | Description |
|---|---|
| Nom de la propriété | glide.security.url.whitelist |
| Type de configuration | Propriétés système (/sys_properties_list.do) |
| Catégorie | Validation, assainissement et encodage |
| Objectif | Pour implémenter la redirection d’URL sécurisée lors de la connexion, de la déconnexion ou d’autres redirections. Cette propriété atténue l’une des 10 principales attaques OWASP appelées Redirections et transferts invalidés. |
| Type | Chaîne |
| Valeur | URL approuvées de votre organisation [certains FQDN (nom de domaine complet) définis, par ex. http://www.servicenow.com] |
| Cote de risque de sécurité | 8.3 |
| Impact fonctionnel | (Moyen) Ce rattrapage applique la validation sur la page de déconnexion. Elle peut avoir un impact fonctionnel sur l’utilisateur d’une instance avec une configuration SSO/SAML. |
| Risque de sécurité | (Élevé) La redirection ouverte côté client peut permettre à l’attaquant de rediriger les victimes/utilisateurs vers un site Web contrôlé par l’attaquant et est considérée comme un risque pour la sécurité. |
| Références |
Pour en savoir plus sur l’ajout ou la création d’une propriété système, reportez-vous à Add a system property.