Vérifier les appels des membres de la liste d’autorisation (renforcement de la sécurité de l’instance)

  • Rversion finale: Xanadu
  • Mis à jour 1 août 2024
  • 2 minutes de lecture

    • Examinez et supprimez les entrées d’appel de membre de la liste d’inclusion au besoin de la table sys_whitelist_member.

    Les entrées d’appel de membres ont accès aux ressources Java du côté serveur afin de réaliser des opérations basées sur les applications sans la validation appropriée. Étant donné que cela peut entraîner des divulgations ou des altérations non autorisées de données des clients, il s’agit d’un grave problème de sécurité.

    En savoir plus

    Attribut Description
    Nom de la table sys_whitelist_member
    Remarque :
    Dans les versions récentes, seuls les employés ServiceNow peuvent accéder à cette table. Même les administrateurs ne sont pas en mesure de le faire.
    Type de configuration Table
    Configurer dans le centre de sécurité de l’instance Oui
    Objectif Pour examiner et supprimer des entrées de cette table.
    Valeur recommandée Aucun enregistrement ne doit exister dans la table (la liste doit être vide).
    Impact fonctionnel (Faible) Il ne devrait y avoir aucun impact tant que vous examinez et approuvez les résultats générés lors de l’exécution de l’outil de suppression des appels de packages.

    Pour garantir le bon fonctionnement de l’instance, testez les changements dans un environnement de non-production avant le déploiement dans l’environnement de production. Pour en savoir plus, reportez-vous à la section Outil de suppression des appels de packages.
    Risque de sécurité Les appels d’API côté client (élevés) qui entraînent la récupération de données ou l’accès à des objets sur le serveur sont considérés comme dangereux du point de vue de la sécurité. Validez ces éléments pour l’autorisation et la restriction de l’accès aux objets sensibles.

    Étapes à configurer

    Remarque :
    Les étapes suivantes sont similaires aux étapes décrites dans les sections Étapes de configuration de :

    Si vous les avez déjà effectuées, vous pouvez ignorer ces étapes.

    1. Activez le module d’extension Packages Call Removal Tool. Pour en savoir plus, reportez-vous à la section Outil de suppression des appels de packages.
    2. À l’aide du navigateur de filtre, accédez à l’utilitaire de suppression des appels de packages.
    3. Cliquez sur chaque script en commençant par (1) à (4). Attendez la sortie, puis passez à la suivante.
    4. Une fois que vous avez exécuté le script (4), une liste des champs affectés s’affiche sur la page Éléments d’appels de packages.
    5. Résolvez tous les éléments des sections Proposé et Erreur.
      Remarque :
      Cet outil peut signaler certains appels de package utilisés dans sa_mapping_ext_commands et sa_custom_operation. Ces appels de package appartiennent au Serveur MID. Comme il n’y a pas de classes, le code s’exécute dans Serveur MID. Si vous trouvez les appels de membres suivants dans la section Erreurs, marquez-les comme rejetés (ignorés). L’outil ne signale plus cet appel de membre.
      • Packages.com.snc.sw.util.JSONUtil.toJSONPlain(file_content) ;
      • Packages.com.snc.sw.util.JSONUtil.toJSONPlain(file_name) ;
      • Packages.com.snc.sw.commands.HttpCallHandler ;
      • Packages.com.snc.sw.dto.ProviderType.SSH
    6. Contactez ServiceNow le support pour un rattrapage supplémentaire.