Azure ARM Misconfiguration: Improper CORS Policy

このテンプレートは、過度に許容的な CORS ポリシーを定義します。

クロスオリジン リソース シェアリングは、一般に CORS と呼ばれ、ドメインが、そのリソースが別のドメインでホストされている Web ページからアクセスされるポリシーを定義できるようにするテクノロジーです。これまで、Web ブラウザーは、同一生成元ポリシーに従うために、異なるドメインからロードされたスクリプトによるそのドメイン リソースへのアクセスを制限してきました。
CORS は、ドメインが他のドメインを許可し、それらのドメインがそのリソースにアクセスできるようにする手段を提供します。

ドメインまたはドメイン上のディレクトリに対してサーバー レベルで設定された、過度に許容的なポリシーは、意図したよりも多くのコンテンツをクロス ドメイン アクセスに公開する可能性があるため、CORS ポリシーを定義するときは注意してください。CORS を使用すると、悪意のあるアプリケーションが被害者のアプリケーションと不適切に通信できるようになり、情報の開示、なりすまし、データの盗難、リレー、またはその他の攻撃につながる可能性があります。

CORS を実装すると、アプリケーションの攻撃対象領域が増える可能性があるため、必要な場合にのみ使用してください。

例 1: 次のテンプレートの例は、Azure SignalR Web アプリケーションに適用する、過度に許容的な CORS ポリシーを定義しています。

{
    ...
    "type": "Microsoft.SignalRService/SignalR",
    ...
    "properties": {
    ...
        "cors": {
            "allowedOrigins": ["*"]
        },
    ...
}

例 2: 次のテンプレートの例は、Azure Web アプリケーションに適用する、過度に許容的な CORS ポリシーを定義しています。

{
    "apiVersion": "2020-12-01",
    "type": "Microsoft.Web/sites",
    ...
    "properties": {
        ...
        "siteConfig": {
            ...
            "cors": {
                "allowedOrigins": [
                    "*"
                ]
            },
    ...
}

例 3: 次のテンプレートの例は、Azure Maps アカウントに適用する、過度に許容的な CORS ポリシーを定義しています。

{
    "apiVersion": "2021-12-01-preview",
    "type": "Microsoft.Maps/accounts",
    ...
    "properties":{
        "cors":{
            "allowedOrigins": ["*"]
        }
    },
    ...
}

例 4: 次のテンプレートの例は、Azure Cosmos DB アカウントに適用する、過度に許容的な CORS ポリシーを定義しています。

{
    "type": "Microsoft.DocumentDB/databaseAccounts",
    ...
    "properties": {
        "cors": [{
            "allowedOrigins":"*"
        }],
    ...
}

例 5: 次のテンプレートの例は、Azure ストレージ BLOB サービスに適用する、過度に許容的な CORS ポリシーを定義しています。

{
"type": "Microsoft.Storage/storageAccounts/blobServices",
    ...
    "properties": {
        "cors": {
            "corsRules": [
                {
                    "allowedOrigins":["*"],
                    ...
                }
            ]
        }
    }
    ...
}