Azure ARM Misconfiguration: Improper CORS Policy

La plantilla define una directiva CORS demasiado permisiva.

El Cross-Origin Resource Sharing (intercambio de recursos de origen cruzado), comúnmente conocido como CORS, es una tecnología que permite que un dominio defina una directiva para que una página web alojada en un dominio diferente pueda acceder a sus recursos. Históricamente, los navegadores web han restringido el acceso a los recursos de su dominio mediante scripts cargados desde un dominio diferente para cumplir directiva de mismo origen.
CORS proporciona un método para que un dominio incluya otros dominios en la lista de valores permitidos y estos puedan acceder a sus recursos.

Tenga cuidado al definir una directiva CORS, porque una directiva excesivamente permisiva configurada a nivel de servidor para un dominio o un directorio en un dominio puede exponer más contenido para el acceso entre dominios de lo previsto. CORS puede permitir que una aplicación malintencionada se comunique con una aplicación víctima de manera inapropiada, lo que puede conducir a la divulgación de información, suplantación de identidad, robo de datos, retransmisión u otros ataques.

La implementación de CORS puede aumentar la superficie de ataque de una aplicación y solo debe usarse cuando sea necesario.

Ejemplo 1: La siguiente plantilla de ejemplo define una directiva CORS demasiado permisiva para una aplicación web de Azure SignalR.

{
    ...
    "type": "Microsoft.SignalRService/SignalR",
    ...
    "properties": {
    ...
        "cors": {
            "allowedOrigins": ["*"]
        },
    ...
}

Ejemplo 2: La siguiente plantilla de ejemplo define una directiva CORS demasiado permisiva para una aplicación web de Azure.

{
    "apiVersion": "2020-12-01",
    "type": "Microsoft.Web/sites",
    ...
    "properties": {
        ...
        "siteConfig": {
            ...
            "cors": {
                "allowedOrigins": [
                    "*"
                ]
            },
    ...
}

Ejemplo 3: La siguiente plantilla de ejemplo define una directiva CORS demasiado permisiva para una cuenta de Azure Maps.

{
    "apiVersion": "2021-12-01-preview",
    "type": "Microsoft.Maps/accounts",
    ...
    "properties":{
        "cors":{
            "allowedOrigins": ["*"]
        }
    },
    ...
}

Ejemplo 4: La siguiente plantilla de ejemplo define una directiva CORS demasiado permisiva para una cuenta de Azure Cosmos DB.

{
    "type": "Microsoft.DocumentDB/databaseAccounts",
    ...
    "properties": {
        "cors": [{
            "allowedOrigins":"*"
        }],
    ...
}

Ejemplo 5: La siguiente plantilla de ejemplo define una directiva CORS demasiado permisiva para un servicio de blob de almacenamiento de Azure.

{
"type": "Microsoft.Storage/storageAccounts/blobServices",
    ...
    "properties": {
        "cors": {
            "corsRules": [
                {
                    "allowedOrigins":["*"],
                    ...
                }
            ]
        }
    }
    ...
}