AWS上のWebシステムへのファイルアップロード時にAWS WAFでブロックされる。

Question

前提

これまでイントラ内で運用していたWebシステムをAWS上に持っていくとこのことで挙動を見ています。
ファイルをアップロードする処理を実行した際に、AWS WAFの検知ルールに引っかかっており対応が必要な状態です。
クライアント側でファイルをアップロードする処理でのXSS対策はどの様な実装になるのかご教授頂きたいです。

■対象ルール
CrossSiteScripting_BODY

実現したいこと

ファイルのアップロードを行いたい。

該当のソースコード

var xhr = new XMLHttpRequest();
var form = document.getElementById('uploadFile');
var formData = new FormData(form);
formData.append('fileName', document.getElementById('fileName').value);
formData.append('filePath', document.getElementById('filePath').value);
xhr.open('POST', 'サーバー側のURL', true);
xhr.send(formData);

試したこと

正常にアップロードできるファイルと、できないファイルがあります。
そもそもリクエストがAWS WAFによってサーバー側の処理まで届いて居ないようなので
クライアント側で何かしらする必要があると思っており

調べてみるとサニタイズが必要とのことですが、fileName, filePathのサニタイズでは解決せず。
uploadFile自体をサニタイズ？するのかいまいちよくわかってないです。

追記

WAF側のログを確認したところ、以下の問題があるとのことでした
リクエストボディに格納されているファイルのメタ情報が引っかかるようですがこの場合はどのような対応が必要となるのでしょうか。

  "terminatingRuleMatchDetails": [
    {
      "conditionType": "XSS",
      "location": "BODY",
      "matchedData": ["xmlns:x", "adobe:ns:meta/"]
    }
  ],

Comments

[yu_1985]

素直に考えたらファイル名とかパスだけでなく、送っているデータの全量に対してチェックがかかるはずです。
WAFにブロックされたリクエストの中身をログからより詳細に調べてみてはどうでしょうか。

Answer 1

調べるとAWSのBlogに下記のようなものがあります。
AWS WAF によってブロックされているファイルをアップロードするにはどうすればよいですか?

結局の所、セキュリティを損ねないレベルで個別に除外するしかないと思います。
具体的な方法は要件に照らし合わせて考えてみてください。

Answer 2

今回はAWS WAF側のブロックルールを変更し対応を行いました。

プログラムにて対応を行う場合については以下の様な方法があるそうで
参考：AWS WAF Getting 403 forbidden error while trying to upload an image

ファイルを読み込んだメタデータを含むBlobはJavascript側で変更ができない仕様なので
base64変換した文字列として送る形になるようでした。

Blobの分割はできるみたいですが
分割対象の位置が対象の部分でない場合には意味がなさそうなので今回は深掘りしていません。