Azure ARM Misconfiguration: Improper CORS Policy

O modelo define uma política CORS excessivamente permissiva.

O compartilhamento de recursos de origem cruzada, comumente referido como CORS, é uma tecnologia que permite a um domínio definir uma política para que seus recursos sejam acessados por uma página da web hospedada em um domínio diferente. Historicamente, os navegadores da web restringiram seus recursos de domínio de serem acessados por scripts carregados de um domínio diferente para obedecer à mesma política de origem.
CORS fornece um método para um domínio permitir outros domínios e que eles acessem seus recursos.

Tenha cuidado ao definir uma política CORS porque uma política excessivamente permissiva configurada no nível do servidor para um domínio ou um diretório em um domínio pode expor mais conteúdo para acesso entre domínios do que o pretendido. O CORS pode permitir que um aplicativo mal-intencionado se comunique com o aplicativo vítima de forma inadequada, o que pode levar à divulgação de informações, falsificação, roubo de dados, retransmissão ou outros ataques.

A implementação do CORS pode aumentar a superfície de ataque de um aplicativo e só deve ser usada quando necessário.

Exemplo 1: O modelo de exemplo a seguir define uma política CORS excessivamente permissiva para um aplicativo Web Azure SignalR.

{
    ...
    "type": "Microsoft.SignalRService/SignalR",
    ...
    "properties": {
    ...
        "cors": {
            "allowedOrigins": ["*"]
        },
    ...
}

Exemplo 2: O modelo de exemplo a seguir define uma política CORS excessivamente permissiva para um aplicativo Web do Azure.

{
    "apiVersion": "2020-12-01",
    "type": "Microsoft.Web/sites",
    ...
    "properties": {
        ...
        "siteConfig": {
            ...
            "cors": {
                "allowedOrigins": [
                    "*"
                ]
            },
    ...
}

Exemplo 3: O modelo de exemplo a seguir define uma política CORS excessivamente permissiva para uma conta do Azure Maps.

{
    "apiVersion": "2021-12-01-preview",
    "type": "Microsoft.Maps/accounts",
    ...
    "properties":{
        "cors":{
            "allowedOrigins": ["*"]
        }
    },
    ...
}

Exemplo 4: O modelo de exemplo a seguir define uma política CORS excessivamente permissiva para uma conta do Azure Cosmos DB.

{
    "type": "Microsoft.DocumentDB/databaseAccounts",
    ...
    "properties": {
        "cors": [{
            "allowedOrigins":"*"
        }],
    ...
}

Exemplo 5: O modelo de exemplo a seguir define uma política CORS excessivamente permissiva para um serviço de blob de armazenamento do Azure.

{
"type": "Microsoft.Storage/storageAccounts/blobServices",
    ...
    "properties": {
        "cors": {
            "corsRules": [
                {
                    "allowedOrigins":["*"],
                    ...
                }
            ]
        }
    }
    ...
}