L'impatto sulla sicurezza dell'esposizione del numero di versione è che un utente malintenzionato può vedere immediatamente se la tua versione è vulnerabile a una vulnerabilità nota. Ad esempio, jQuery prima della 3.4.0 è vulnerabile a CVE-2019-11358, quindi è un'informazione utile per un utente malintenzionato sapere se il tuo jQuery è 3.3.9 o 3.4.1.

Tuttavia, con JavaScript che viene eseguito nel browser, il codice sorgente completo è accessibile dall'aggressore, quindi è impossibile nascondere se il tuo jQuery è vulnerabile. Anche se nascondi la versione, l'autore dell'attacco può confrontare il codice o semplicemente provare un exploit per determinare se sei vulnerabile. Nascondere il numero di versione può far funzionare leggermente di più, ma realisticamente ha poco.

Inoltre, ci sono altri modi per mitigare questo problema:

• Tieniti aggiornato sulla sicurezza problemi nelle librerie che utilizzi. Iscriviti a una mailing list o a un altro metodo di pubblicazione per problemi di sicurezza.
• Aggiorna le librerie client ogni volta che viene identificato un problema di sicurezza.

Se disponi sempre di un account non vulnerabile versione perché si aggiorna regolarmente, non è un problema che la versione venga divulgata. E puoi dire al tuo cliente che questo è il modo in cui mitighi la divulgazione di informazioni.

Conoscere il numero di versione non è un errore di configurazione della sicurezza. Il rischio di esporre i numeri di versione è una "divulgazione di informazioni". Ciò può creare un pericolo se la conoscenza di queste informazioni consente a un utente malintenzionato di creare un exploit per una vulnerabilità in quella specifica versione.

Anche se la libreria finisce per contenere una vulnerabilità, non si tratta comunque di un problema di configurazione errata della sicurezza. Sarebbe "A9-Utilizzo di componenti con vulnerabilità note".

Quindi, sembra che il cliente abbia una comprensione errata e rigida dei rischi e della situazione.

È un modello di pensiero molto, molto vecchio nella sicurezza informatica che esporre il numero di versione di qualcosa sia un rischio per la sicurezza.

Presumibilmente, rende il lavoro più facile per gli aggressori, perché se conoscono la versione di qualunque cosa tu stia eseguendo, possono cercare le vulnerabilità che si applicano a quella versione.

In realtà, questo è ciò che stanno facendo i security scanner. Nessus et al hanno un database integrato di vulnerabilità in base al numero di versione. Quindi, a meno che tu non esegua mai la scansione di te stesso, nascondere queste informazioni significa spararti ai piedi.

Tranne che sia gli scanner che gli aggressori (che usano gli scanner, sai?) Hanno altri mezzi oltre a un semplice strcmp () per determinare il numero di versione di qualcosa. È un po 'più faticoso e non è sempre possibile individuare un numero esatto, ma nessun utente malintenzionato che valga nulla confonderà jQuery 3.3.0 con jQuery 2.2.1

Gli attaccanti non a livello di script kiddie hanno anche molti altri metodi per capire cosa stai eseguendo, dall'impronta digitale al semplice test automatico di alcune centinaia di exploit e al controllo di quale funziona.

Nascondere il numero di versione ti dà una piccola quantità di sicurezza aggiuntiva. Se non hai nient'altro da fare, puoi farlo o no. Finché hai problemi di sicurezza reali da risolvere, dedica il tuo tempo a quelli.

Infine, esporre il numero di versione non è un caso di configurazione errata della sicurezza. Se il tuo strumento lo segnala come tale, segnala quel bug a monte in modo che il tuo strumento possa essere risolto.

Non sono sicuro al 100% se si tratta o meno di una domanda duplicata. Se deve essere contrassegnato come tale, fallo mods, ma penso che il consiglio in questo particolare post " Esiste una versione base di jQuery che non ha vulnerabilità XSS" sarebbe utile per risolvere il problema problema per i tuoi clienti.

Uno dei fattori principali che dovrai valutare per affrontare la questione generale è se la soluzione di sicurezza proposta è un buon ROI per il tuo cliente. Vale la pena scrivere un'eccezione nella politica di sicurezza o forse implementare il codice per eliminare i numeri di versione restituiti (o come osserva il commentatore potenzialmente abbandonare jQuery) per mitigare il rischio di esporre il numero di versione? In molti casi non lo sarà, ma in altri sì, e tutto dipenderà dalla situazione individuale. Tuttavia, dovresti assolutamente verificare che le versioni che stai utilizzando non siano già compromesse utilizzando qualcosa come cvedetails o il NIST National Vulnerability Database.

Quanto al motivo per cui Bootstrap non viene segnalato, è probabile che sia dovuto allo scanner (che non hai menzionato) e ai test che stai utilizzando per la valutazione. Secondo la logica della Configurazione errata della sicurezza OWASP, anche questa potrebbe essere vista come una vulnerabilità e dovrebbe / non dovrebbe essere affrontata per lo stesso motivo. Indipendentemente da ciò, l'esposizione di tali informazioni fornisce a qualsiasi potenziale aggressore un altro punto di dati da cui condurre ricerche e potenzialmente identificare le vulnerabilità.

Alla fine, nasconderlo è sicurezza per oscurità.

Che è spesso calunniato come comportamento fuorviante e inutile.

Che è, se usato DA SOLO e CONTRO A ATTACCO MIRATO.

Può migliorare le misure di sicurezza "adeguate" riducendo la possibilità che tu non sia preso di mira in primo luogo da chiunque sia ancora alla ricerca di un bersaglio.

Minimizza il RISCHIO .

Una sicurezza "adeguata" è come assicurarsi che le proprie azioni siano legali, la sicurezza tramite l'oscurità è come assicurarsi di non raccogliere l'attenzione gratuita della polizia nel caso in cui ti sbagli sulla legge.