コンテンツ盗聴保護コントロール

コントロール名

コンテンツ盗聴保護

推奨設定

• コンテンツ盗聴保護を有効化

[設定]> [セッション設定]> [コンテンツ盗聴保護]。

制御の概要

ブラウザーがファイルを実行可能なスクリプトとして誤って解釈しないように、Salesforce システム管理者は [セッションの設定] メニューで [コンテンツ盗聴保護を有効化] を有効にして、X-Content-Type-Options: nosniff ヘッダーを適用する必要があります。

設定されていない場合のセキュリティリスク

コンテンツ盗聴保護を有効にしない場合、ブラウザーはサーバーの宣言されたファイルタイプを無視し、ファイルのコンテンツに基づいて MIME タイプを「推測」できるため、ブラウザーが無害なファイル (画像ファイルやテキストファイルなど) を悪意のあるスクリプトとして実行できる脆弱性が生じます。この見落としにより、クロスサイトスクリプティング (XSS) やドライブバイダウンロード攻撃のリスクが大幅に高まります。

脅威のシナリオ

攻撃者は、無害な .png または .txt ファイルを装った悪意のある JavaScript ペイロードを Salesforce ケースまたは Experience Cloud ポータルにアップロードします。コンテンツ盗聴保護が有効になっていない場合、疑いを持たないユーザーのブラウザーはファイルの本質を「推測」して非表示のスクリプトを実行し、攻撃者がユーザーの有効なセッション Cookie を黙って盗み出し、機密データを盗取できるようにします。

推定 CVSS スコア範囲

重大 (9.0 ～ 10.0)。

リスクの影響に関する考慮事項

なし

より高いリスク

MIME 盗聴のリスクは、堅牢なコンテンツセキュリティポリシー (CSP) の欠如によって大幅に増します。CSP がない場合、不正なスクリプトの実行をブロックするための第 2 の防御手段として機能します。

Low or No Risk When (低リスクまたは無リスクの場合)

コンテンツ盗聴保護の欠如を相殺するには、組織は、不正なスクリプトやインラインスクリプトの実行を明示的にブロックし、「盗聴された」ペイロードに対するセカンダリファイアウォールとして機能する厳格なコンテンツセキュリティポリシー (CSP) を実装する必要があります。

また、すべてのアップロードに対して自動マルウェアおよびファイルタイプのスキャンをリリースすることで、悪意のあるファイル (画像を装ったスクリプト) がブラウザーで誤って解釈される前に傍受され、無効化されます。

ビジネスと統合に関する考慮事項

なし

推奨される修復

コンテンツ盗聴保護を有効にします。

Security Health Review Guidance (セキュリティ状態レビューガイダンス)

セキュリティ状態レビューでは、セッション設定を調べて、コンテンツ盗聴保護が有効になっていることを確認し、業界のベストプラクティスに従います。