Azure ARM Misconfiguration: Improper CORS Policy

範本將定義過度允許的 CORS 原則。

Cross-Origin Resource Sharing 通常簡稱為 CORS，是一種允許網域為其資源定義原則，讓託管在不同網域上的網頁存取其資源的技術。根據過去經驗，網頁瀏覽器已限制其網域資源不得由不同網域載入的指令碼所存取，以遵守相同來源原則。
CORS 為網域提供了一種允許其他網域並讓它們可以存取其資源的方法。

定義 CORS 原則時務必小心，因為在伺服器層級為網域或網域上的目錄所設定的原則若過度允許，公開給跨網域存取的內容可能會高於預期。CORS 可能使惡意應用程式與受害應用程式進行不當通訊，進而可導致資訊外洩、詐騙、資料竊取、轉送或其他攻擊。

實作 CORS 可能增加應用程式的受攻擊面，所以僅在必要時才應使用。

範例 1：以下範例範本為 Azure SignalR Web 應用程式定義過度允許的 CORS 原則。

{
    ...
    "type": "Microsoft.SignalRService/SignalR",
    ...
    "properties": {
    ...
        "cors": {
            "allowedOrigins": ["*"]
        },
    ...
}

範例 2：以下範例範本為 Azure Web 應用程式定義過度允許的 CORS 原則。

{
    "apiVersion": "2020-12-01",
    "type": "Microsoft.Web/sites",
    ...
    "properties": {
        ...
        "siteConfig": {
            ...
            "cors": {
                "allowedOrigins": [
                    "*"
                ]
            },
    ...
}

範例 3：以下範例範本為 Azure Maps 帳戶定義過度允許的 CORS 原則。

{
    "apiVersion": "2021-12-01-preview",
    "type": "Microsoft.Maps/accounts",
    ...
    "properties":{
        "cors":{
            "allowedOrigins": ["*"]
        }
    },
    ...
}

範例 4：以下範例範本為 Azure Cosmos DB 帳戶定義過度允許的 CORS 原則。

{
    "type": "Microsoft.DocumentDB/databaseAccounts",
    ...
    "properties": {
        "cors": [{
            "allowedOrigins":"*"
        }],
    ...
}

範例 5：以下範例範本為 Azure 儲存體 Blob 服務定義過度允許的 CORS 原則。

{
"type": "Microsoft.Storage/storageAccounts/blobServices",
    ...
    "properties": {
        "cors": {
            "corsRules": [
                {
                    "allowedOrigins":["*"],
                    ...
                }
            ]
        }
    }
    ...
}