رؤوس أمان Expressway-E HTTP على المنفذ 8443 - السلوك المتوقع ومسح الأمان المؤقت الإيجابيات الخاطئة

مسألة

تبلغ الماسحات الضوئية لنقاط الضعف الأمنية عن رؤوس أمان HTTP المفقودة عند مسح منفذ Expressway-E من Cisco ضوئيا على منفذ TCP 8443. يشير تقييم الأمان إلى أن رؤوس أمان HTTP هذه مفقودة ومعلمة للإصلاح:

• سياسة أمان المحتوى

• Cross-Origin-Embedded-Policy

• سياسة المنبع-المنفتح

• سياسة الموارد-الأصل

• نهج الأذونات

• نهج المرجع

• النقل الصارم - الأمان

• خيارات X-Content-Type

• خيارات الإطار-X

• حماية X-XSS

تحتاج المؤسسات إلى فهم ما إذا كان يمكن تكوين هذه الرؤوس يدويا على Cisco Expressway-E، أو ما إذا كان هذا يمثل سلوك المنتج المتوقع أو تقييد أو عيب معروف يتطلب معالجة لأغراض التوافق مع الأمان.

البيئة

• Cisco Expressway-E

• فتح منفذ TCP 8443 الذي تم مسحه ضوئيا بواسطة ماسح ضوئي للمنفذ (مثل بيئة الوصول عن بعد والجوال)

قرار

تمثل رؤوس أمان HTTP المفقودة التي تم الإبلاغ عنها على منفذ TCP 8443 سلوك Expressway-E المتوقع من Cisco ويجب اعتبارها إيجابية خاطئة عند الكشف عنها بواسطة الماسحات الضوئية القياسية لأمان الويب. توضح هذه النقاط السلوك المتوقع وتوفر إرشادات للامتثال للأمان:

تأكيد السلوك المتوقع

يعد منفذ TCP 8443 على Cisco Expressway-E نقطة نهاية HTTPS API/Service غير مخصصة للوصول العام للمستعرض أو المسح الضوئي لخدمة الويب القياسية. عندما تقوم الماسحات الضوئية للأمان بإرسال طلبات عامة أو غير صحيحة إلى هذا المنفذ، يمكن أن تتلقى استجابات لا تتضمن جميع رؤوس أمان HTTP. هذا السلوك متوقع و من خلال التصميم.

رؤوس الأمان في استجابات HTTPS الصحيحة

لا يتضمن Cisco Expressway-E رؤوس الأمان المناسبة في استجابات HTTPS API الصحيحة وتفاعلات الخدمة الشرعية. تكون الرؤوس موجودة عندما يتم الوصول إلى المنفذ بشكل صحيح من خلال إستدعاءات API المناسبة أو أثناء تدفقات المصادقة الصالحة مثل عمليات تسجيل الدخول إلى Webex. تحقق من هذا الأمر من خلال تجميع سجلات التشخيص من Expressway.

مثال على رؤوس الأمان الموجودة في إستجابة HTTPS الصالحة على المنفذ 8443:

HTTP/1.1 200
x-frame-options: SAMEORIGIN
strict-transport-security: max-age=31536000; includeSubdomains
x-content-type-options: nosniff
x-xss-protection: 1; mode=block
content-security-policy: default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval';style-src 'self' 'unsafe-inline'; img-src 'self' data: 'unsafe-inline';frame-ancestors 'self'; base-uri 'self';
content-type: application/soap+xml;charset=UTF-8
content-length: 474
date: Thu, 12 Feb 2026 08:52:05 GMT
server:
Age: 0
Connection: keep-alive

مثال على رؤوس الأمان في إستجابة واجهة برمجة التطبيقات على المنفذ 443:

HTTP/1.1 201 Created
Date: Mon, 22 Jul 2024 21:22:00 GMT
Server: VCS
Referrer-Policy: same-origin
Permissions-Policy: geolocation=();
Content-Security-Policy: default-src 'self';base-uri 'self';block-all-mixed-content;child-src 'self';connect-src 'self';font-src 'self';frame-ancestors 'self';frame-src 'self';img-src 'self';manifest-src 'self';media-src 'none';object-src 'self';script-src 'self' 'unsafe-inline' 'unsafe-eval';style-src 'self' 'unsafe-inline' 'unsafe-eval';worker-src 'self';
Strict-Transport-Security: max-age=31556926; includeSubDomains
X-Frame-Options: sameorigin
X-Content-Type-Options: nosniff
X-WebKit-CSP: self
X-Permitted-Cross-Domain-Policies: none
X-XSS-Protection: 1; mode=block
Content-Type: application/json
Location: /provisioning/common/dns/dnsserver/index/2
Transfer-Encoding: chunked
Content-Language: en

مثال إستجابة الماسح الضوئي

عند إجراء الماسحات الضوئية العامة أو طلبات التجعد للمنفذ 8443 دون سياق واجهة برمجة التطبيقات (API) مناسب، فإنها تتلقى إستجابة 400 طلب سيئ برؤوس محدودة. ليس من المقصود الوصول إلى منفذ TCP 8443 (مثل بواسطة مستعرض) باستثناء طلبات واجهة برمجة التطبيقات (API).

HTTP/1.1 400 Bad Request
Date: Fri, 26 Jun 2026 21:35:58 GMT
Connection: close
Strict-Transport-Security: max-age=31536000; includeSubDomains
Server: CE_E
Cache-Control: no-store
Content-Type: text/html
Content-Language: en
Content-Length: 65

تكوين رأس الأمان

رؤوس أمان HTTP غير قابلة للتكوين من قبل المستخدم على Expressway-E من Cisco. يتم التحكم في هذه الرؤوس بالكامل بواسطة برنامج Expressway ويتم تضمينها تلقائيا في الاستجابات المناسبة بناء على نوع الطلب وتفاعل الخدمة.

السبب

تم تصميم منفذ TCP 8443 على Cisco Expressway-E كنقطة نهاية HTTPS API لاتصالات الخدمة المحددة، وليس كمنفذ خدمة ويب قياسي يمكن الوصول إليه من خلال طلبات HTTP العامة. يتلقى ماسحات الأمان التي تقوم بإرسال طلبات عامة أو غير صالحة إلى هذا المنفذ 400 إستجابة طلب غير صحيحة لا تتضمن المكمل الكامل لرؤوس أمان HTTP. يتم توثيق هذا السلوك في معرف تصحيح الأخطاء من Cisco CSCvt86137، حيث قرر المطورون أن أهمية رؤوس الأمان تعتمد على المحتوى الذي يتم تقديمه، ويستخدم Expressway بالفعل رؤوس الأمان حيثما كان ذلك مناسبا.

يمثل عدم وجود رؤوس في استجابات الماسح الضوئي سلوك المنتج المتوقع بدلا من الثغرات الأمنية، حيث إن الرؤوس موجودة في تفاعلات واجهة برمجة التطبيقات (API) الشرعية وتدفقات الخدمة.

المحتوى ذي الصلة

• دليل تكوين إستخدام منفذ Expressway IP من Cisco - الوصول عبر الهاتف المحمول والوصول عن بعد

• معرف تصحيح الأخطاء من Cisco CSCvt86137 - رؤوس الأمان في استجابات HTTP من Expressway

• معرف تصحيح الأخطاء من Cisco CSCvx01616 - رأس أمان النقل المقيد في استجابات ماسح المنفذ الضوئي

• الدعم الفني والتنزيلات من Cisco

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	29-Oct-2026	الإصدار الأولي