Beschränken Sie die Dateitypen, die in Ihre EBS-Anwendung hochgeladen werden

Es ist nun etwas mehr als ein Jahr her, seit wirdie Onapsis Security Platform OSP) für die Oracle E-Business Suite (EBS) eingeführt haben. Auf der Onapsis Research Labsuntersuchen wir, genau wie wir es bereits für SAP getan haben, weiterhin neue Module für das Produkt. 

In diesem Blogbeitrag befassen wir uns mit einem Modul, das die Art und Größe der Dateien einschränken kann, die auf EBS hochgeladen werden dürfen. Warum ist das wichtig? Wir müssen bedenken, dass es der Endbenutzer ist, der Dateien in die Datenbank hochlädt, und dass er sich möglicherweise keine Gedanken über die Sicherheit des Systems macht; daher ist es unsere Pflicht, dies so weit wie möglich einzuschränken.

Alle auf EBS hochgeladenen Dateien landen in der Tabelle „FND_LOB“, einer der umfangreichsten und komplexesten EBS-Datenbanktabellen, deren Pflege sehr aufwendig ist. Wenn Dateien ohne Einschränkungen hochgeladen werden dürfen, kommt es zu Leistungseinbußen.

Schauen wir uns an, wie man das Hochladen bestimmter Dateitypen in EBS einschränken kann. Diese Validierung besteht aus zwei Profilen:

Das erste Profil„Standardmäßige Einschränkung beim Hochladen von Dateianhängen“ schränkt bei Aktivierung standardmäßig die Verwendung einer Blacklist von Dateiendungen ein, die Windows als „ausführbar“ einstuft, wie z. B. .COM, .EXE, .BA, .CMD, .VBS, .VBE, .JS, .JSE, .WSF, .WSH und .MSC. Dies kann in eineWhitelistmit zulässigen Dateierweiterungen geändert werden, um nur diejenigen zuzulassen, die Sie tatsächlich verwenden. Mit diesem Profil können wir also control , die in den FILE_MIME_TYPES nicht ausdrücklich zugelassen oder untersagt wurden. 

Mögliche Werte für dieses Feld sind„Ja“oder„Nein“. Wenn der Wert auf„Ja“ gesetzt ist, kann ein Dateityp über das Frontend hochgeladen werden, auch wenn er in FILE_MIME_TYPES nicht ausdrücklich zugelassen oder untersagt wurde. Wenn dieser Wert auf„Nein“gesetzt ist, kann der Benutzer keine Dateitypen hochladen, die nicht ausdrücklich in FILE_MIME_TYPES zugelassen wurden.

Wenn ein Benutzer keine Datei hochladen kann, wird ihm folgende Meldung auf dem Bildschirm angezeigt:

Das zweite Profil„Upload-Dateigrößenbegrenzung“ gibt die maximale Dateigröße an. Dies ist wichtig, da eine sehr große Datei den Betrieb des Anwendungsservers lahmlegen könnte.

Wenn Sie überlegen, welche Anhänge Sie zulassen möchten, müssen Sie auch die Einstellungen für die zulässige Größenbeschränkung eines hochgeladenen Anhangs überprüfen – die Profiloption UPLOAD_FILE_SIZE_LIMIT (kb). Ist der Profilwert null, sindAnhänge beliebiger Größe zulässig. Das Risiko dabei besteht darin, dass ein Angreifer einen Denial-of-Service-Angriff ausführen kann.

Wenn das Profil korrekt konfiguriert ist, wird dem Benutzer folgende Warnung angezeigt:

Im Folgenden sind die Dateitypen aufgeführt, deren Verwendung mit den Standardprofiloptionen eingeschränkt werden sollte:

Wenn Sie die Dateien, die ein Benutzer hochladen darf, nicht ordnungsgemäß einschränken, könnten beliebige gefährliche Dateien, wie beispielsweise ein Ubuntu-Paket, hochgeladen werden – unabhängig davon, ob dies in böswilliger Absicht geschieht oder nicht.

Hier ist eine einfache Abfrage, um den Inhalt der Tabelle FND_LOBS zu überprüfen:

SELECT file_id, file_name, upload_date
FROM fnd_lobs
; ORDER BY upload_date DESC;

So können Sie die Größe unserer Tabelle „FND_LOBS“ anzeigen:

SELECT ROUND(SUM(BYTES)/1024/1024) MB FROM dba_segments WHERE segment_name = 'FND_LOBS';

Eine erforderliche Parallelbedingung, wenn wir diese Tabelle leeren müssen, lautet:

„Veraltete Daten des generischen Dateimanagers löschen.“

In derOracle CPU vom Januar 2012 werden zwei einfache Profile beschrieben, die von großer Bedeutung sind, da eine fehlerhafte Konfiguration nicht nur zum Ausfall des Anwendungsservers führen, sondern auch das Hochladen bösartiger Dateien in die Datenbank ermöglichen kann. Lesen Sie diese CPU daher noch einmal durch, falls Sie sich noch nicht damit befasst haben – eine Überprüfung schadet nie.

• Sicherheitskonfigurationsmechanismus in der Anhangsfunktion der Oracle E-Business Suite (Doc ID 1357849.1)
• Wie kann man die Dateigröße von Anhängen begrenzen? (Doc-ID 604458.1)
• Gibt es eine Dateigrößenbeschränkung für EBS-Anhänge (Doc-ID 739643.1)

Wir werden weiterhin weitere Informationen zur Sicherheit der Oracle E-Business Suite und zu den in der Onapsis Security Platform enthaltenen Modulen veröffentlichen. Erfahren Sie mehr überOSP für EBS, verfolgen Sie unseren Blog undfordern Sie noch heute eine Demo an!