11/02/2020 | Ferramenta de segurança para criar uma camada adicional de proteção no Gestão de Pessoas | HCM

Texto alterado em: 14/02/2020. A ferramenta foi liberada nativamente no sistema a partir das versões de 14/02.

A Senior liberou em 11/02/2020 uma ferramenta de segurança para os módulos de Gestão de Pessoas web das versões 6.2.34.X e 6.2.33.X em que implementa uma camada adicional de proteção que bloqueia requisições de usuários anônimos (usuário e senha padrão) que possuam privilégios de administrador.

Essa ferramenta está presente nativamente a partir das versões 6.2.33.128 e 6.2.34.65. para versões anteriores, baixe a ferramenta, de acordo com a sua versão do sistema aqui.

Ela se destina somente aos clientes que utilizam algum módulo Web 5.0 do Gestão de Pessoas | HCM, tais como: Administração de Pessoal Web, Controle de Ponto Web, Cargos e Salários Web, Quadro de Vagas Web, Recrutamento e Seleção Web, Treinamento e Pesquisa Web, Segurança e medicina, Jurídico Web e Novo Currículo Web.

Ressaltamos que essa é uma implementação adicional para mitigar eventuais vulnerabilidades decorrentes de parametrizações que fornecem acesso indevido a este perfil de usuário.

Atualização para as versões do sistema que possuem essa ferramenta é desnecessária caso a configuração do seu ambiente esteja em conformidade com a documentação vigente. A verificação pode ser feita manualmente por um usuário administrador, conferindo se o usuário informado no recurso de login anônimo (usuário e senha padrão) é um usuário administrador, ou se ele possui mais privilégios do que deveria.

A utilização dessa ferramenta pode causar mau funcionamento em customizações e/ou integrações que utilizam o recurso de usuário padrão (anônimo). Neste caso, essas customizações e integrações devem ser revisadas, atribuindo um usuário com permissões adequadas para cada situação.

O currículo web utiliza este recurso para divulgação das vagas nos sites dos clientes. Caso o usuário e senha padrão informado no SeniorConfigCenter para o módulo "novocurriculoweb" seja um usuário administrador, a publicação das vagas será afetada. A recomendação é criar um novo usuário, não administrador, somente com permissão para o módulo "RS - Recrutamento e Seleção", e atribuir este novo usuário no usuário e senha padrão para este módulo.

Passo a passo para verificação manual das configurações de segurança pelo administrador:

Acesse a Central de Configuração Senior da instalação do Gestão de Pessoas.
No menu Middleware > Web 5.0 > Aplicativos, selecione o aplicativo web e confira as informações de “Usuário e senha padrão”. Isso deve ser feito em cada um dos aplicativos listados do seu ambiente. Conforme imagem abaixo:
Acesse o SGU da instalação do Gestão de Pessoas, faça uma pesquisa pelo nome do usuário apresentado na tela da Central de Configuração.
Ao encontrar o usuário desejado, clique duas vezes sobre o registro. Será exibida a tela de “Propriedades do Usuário”, acesse a aba “Grupo” conforme a imagem abaixo indicando:
Será exibida a tela abaixo:
A configuração pode ser:
1. É administrador: quando ele diretamente, ou qualquer grupo a que ele pertence (passo anterior), está configurado como administrador na tela acima, acessada no SGU em Segurança > Direitos Gerais > Administrar plenamente o sistema (realizar qualquer ação). Exemplo: na tela acima, a usuária maria.eduarda é administradora, assim como todos os usuários que estão no grupo Master. Se um dos grupos a qual o usuário pertence, ou ele diretamente estiver na lista de administradores (passo anterior), seu ambiente está vulnerável para acesso anônimo a recursos indevidos. Para resolver isso, será necessário:
  1. Crie um novo usuário e senha para cada aplicativo que tenha a real necessidade de ser acessado utilizando login anônimo. Para esses novos usuários, será necessário redefinir as permissões, concedendo acesso apenas aos devidos recursos que serão acessados de forma anônima.
  2. Retorne para a tela de aplicativos da Web 5.0 da Central de Configurações e informe o usuário e senha novos para cada aplicativo que tenha esta necessidade
  3. Reinicie o Middleware e o GlassFish do seu ambiente.
1. Não é administrador: O usuário ou os grupos definidos nele não possuem a permissão de "Administrar plenamente". Nesse caso, deve-se revisar as permissões que este usuário possui no módulo em questão, de forma a manter somente o necessário, lembrando que estes acessos podem ser feitos de forma anônima. Essa verificação deve ser feita pelo menu Diversos > Usuário, nas telas: Permissão de Telas, Permissão de Geradores, Permissão de Módulo e Permissão de Rotinas. Isso deve ser feito para cada usuário padrão em cada um dos aplicativos indicados na Central de Configuração.

Havendo qualquer dúvida, entre em contato com o seu canal de Suporte.

Notícia relacionada ao(s) produto(s):

Gestão de Pessoas | HCM