Dateiuploads brauchen eine eigene Sicherheitsprüfung

Uploadfunktionen sind praktisch für Bewerbungen, Fotos oder Kundenunterlagen. Sie nehmen aber Dateien entgegen, die ein Betreiber nicht selbst erstellt hat. OWASP empfiehlt deshalb mehrere abgestimmte Prüfungen, etwa zugelassene Dateitypen, Größenbegrenzung und sichere Speicherung.

Der vom Browser gemeldete Typ und die Endung sollten nicht ungeprüft als Wahrheit übernommen werden. Ebenso wichtig ist, wo eine Datei nach dem Upload landet und wer sie aufrufen darf. Ein interner Anhang sollte nicht automatisch über einen öffentlichen Link erreichbar oder als ausführbarer Inhalt behandelbar sein.

Empfehlung für Unternehmen

Definieren Sie zuerst die tatsächlich benötigten Formate. Testen Sie erlaubte Dateien, falsche Typen und zu große Uploads in einer kontrollierten Umgebung. Prüfen Sie Berechtigungen beim Abrufen und Löschen. Fehlermeldungen sollten Nutzern erklären, welche Datei sie stattdessen einreichen können.

Quelle: OWASP File Upload