MIME Sniffing
O que é MIME Sniffing?
MIME SniffingComportamento do navegador de adivinhar o tipo de conteudo de uma resposta a partir dos seus bytes, explorado para executar ficheiros carregados como scripts.
MIME sniffing e uma funcionalidade legada dos navegadores: inspecionam os primeiros bytes de uma resposta e sobrepoem o Content-Type declarado pelo servidor para renderizar o recurso de forma mais "util". Atacantes abusam disso quando uma aplicacao serve ficheiros carregados com tipo errado: um ficheiro contendo HTML ou JavaScript pode ser sniffed como text/html e executado na origem da vitima, originando XSS armazenado. A mitigacao padrao e enviar o cabecalho X-Content-Type-Options: nosniff, que forca o navegador a respeitar o tipo declarado. Combine com Content-Type estritos, CSP e servir conteudo de utilizadores numa origem separada.
● Exemplos
- 01
X-Content-Type-Options: nosniff
- 02
Endpoint de avatar declara image/png mas o ficheiro e HTML; sem nosniff, o navegador executa-o como pagina.
● Perguntas frequentes
O que é MIME Sniffing?
Comportamento do navegador de adivinhar o tipo de conteudo de uma resposta a partir dos seus bytes, explorado para executar ficheiros carregados como scripts. Pertence à categoria Segurança de aplicações da cibersegurança.
O que significa MIME Sniffing?
Comportamento do navegador de adivinhar o tipo de conteudo de uma resposta a partir dos seus bytes, explorado para executar ficheiros carregados como scripts.
Como funciona MIME Sniffing?
MIME sniffing e uma funcionalidade legada dos navegadores: inspecionam os primeiros bytes de uma resposta e sobrepoem o Content-Type declarado pelo servidor para renderizar o recurso de forma mais "util". Atacantes abusam disso quando uma aplicacao serve ficheiros carregados com tipo errado: um ficheiro contendo HTML ou JavaScript pode ser sniffed como text/html e executado na origem da vitima, originando XSS armazenado. A mitigacao padrao e enviar o cabecalho X-Content-Type-Options: nosniff, que forca o navegador a respeitar o tipo declarado. Combine com Content-Type estritos, CSP e servir conteudo de utilizadores numa origem separada.
Como se defender contra MIME Sniffing?
As defesas contra MIME Sniffing costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.
● Termos relacionados
- appsec№ 496
Cabeçalhos de segurança HTTP
Cabeçalhos de resposta que instruem o navegador a aplicar comportamentos defensivos: HTTPS obrigatório, restrições de framing, políticas de conteúdo e controle de referrer.
- attacks№ 240
Cross-Site Scripting (XSS)
Vulnerabilidade web que permite a um atacante injetar scripts maliciosos em páginas visitadas por outros utilizadores, executados no browser da vítima sob a origem do site.
- appsec№ 214
Política de Segurança de Conteúdo (CSP)
Cabeçalho HTTP que informa ao navegador quais origens de scripts, estilos, frames e outros conteúdos são permitidas, limitando o impacto de XSS e injeções de dados.
- attacks№ 541
Upload de arquivos inseguro
Vulnerabilidade web em que a aplicação aceita arquivos do usuário sem validação adequada, permitindo o envio de arquivos maliciosos que levam a RCE, defacement ou roubo de dados.
- appsec№ 960
Politica de mesma origem (SOP)
Regra de seguranca do navegador que restringe como um documento ou script carregado de uma origem pode interagir com recursos de outra origem.
- appsec№ 982
Codificação segura
Prática de escrever código-fonte minimizando defeitos de segurança, seguindo padrões defensivos, regras específicas da linguagem e diretrizes reconhecidas.