Azure ARM Misconfiguration: Improper CORS Policy

이 템플릿은 지나치게 허용적인 CORS 정책을 정의합니다.

일반적으로 CORS라고 하는 원본 간 리소스 공유는 다른 도메인에서 호스팅되는 웹 페이지에서 액세스할 도메인 리소스에 대한 정책을 도메인에서 정의할 수 있도록 하는 기술입니다. 역사적으로 웹 브라우저는 동일 출처 정책을 준수하기 위해 다른 도메인에서 로드된 스크립트가 도메인 리소스에 액세스하는 것을 제한했습니다.
CORS는 도메인에서 다른 도메인을 허용하고 해당 리소스에 액세스할 수 있도록 하는 방법을 제공합니다.

CORS 정책을 정의할 때는 주의를 기울이십시오. 도메인 또는 도메인의 디렉터리에 대해 서버 수준에서 지나치게 허용적인 정책을 구성할 경우 도메인 간 액세스에 대한 콘텐트가 의도한 것보다 많이 노출될 수 있기 때문입니다. CORS는 악성 응용 프로그램과 피해 응용 프로그램 간의 부적절한 통신을 가능하게 하여 정보 공개, 스푸핑, 데이터 절도, 릴레이 또는 기타 공격으로 이어질 수 있습니다.

CORS를 구현하면 응용 프로그램의 공격 표면이 증가할 수 있으며 필요한 경우에만 사용해야 합니다.

예제 1: 다음 예제 템플릿은 Azure SignalR 웹 응용 프로그램에 대해 지나치게 허용적인 CORS 정책을 정의합니다.

{
    ...
    "type": "Microsoft.SignalRService/SignalR",
    ...
    "properties": {
    ...
        "cors": {
            "allowedOrigins": ["*"]
        },
    ...
}

예제 2: 다음 예제 템플릿은 Azure 웹 응용 프로그램에 대해 지나치게 허용적인 CORS 정책을 정의합니다.

{
    "apiVersion": "2020-12-01",
    "type": "Microsoft.Web/sites",
    ...
    "properties": {
        ...
        "siteConfig": {
            ...
            "cors": {
                "allowedOrigins": [
                    "*"
                ]
            },
    ...
}

예제 3: 다음 예제 템플릿은 Azure Maps 계정에 대해 지나치게 허용적인 CORS 정책을 정의합니다.

{
    "apiVersion": "2021-12-01-preview",
    "type": "Microsoft.Maps/accounts",
    ...
    "properties":{
        "cors":{
            "allowedOrigins": ["*"]
        }
    },
    ...
}

예제 4: 다음 예제 템플릿은 Azure Cosmos DB 계정에 대해 지나치게 허용적인 CORS 정책을 정의합니다.

{
    "type": "Microsoft.DocumentDB/databaseAccounts",
    ...
    "properties": {
        "cors": [{
            "allowedOrigins":"*"
        }],
    ...
}

예제 5: 다음 예제 템플릿은 Azure Storage Blob 서비스에 대해 지나치게 허용적인 CORS 정책을 정의합니다.

{
"type": "Microsoft.Storage/storageAccounts/blobServices",
    ...
    "properties": {
        "cors": {
            "corsRules": [
                {
                    "allowedOrigins":["*"],
                    ...
                }
            ]
        }
    }
    ...
}