HTTPoxy - Ist mein Apache mod_cgi betroffen?
Environment
Red Hat Enterprise Linux 4.x
Red Hat Enterprise Linux 5.x
Red Hat Enterprise Linux 6.x
Red Hat Enterprise Linux 7.x
Red Hat Software Collections für Red Hat Enterprise Linux 6 und 7
Red Hat JBoss Web Server 1.x
Red Hat JBoss Web Server 2.x
Red Hat JBoss Web Server 3.x
Red Hat JBoss Enterprise Application Platform 5.x
Red Hat JBoss Enterprise Application Platform 6.x
Issue
Dieses Problem tritt auf, wenn Sie mod_cgi von Apache httpd mit PHP, Python, Go und möglicherweise anderen Sprachen verwenden. Wenn Ihr CGI-Skript eine Netzwerk-Verbindung zu einem anderen Service öffnet, können ausgehende Anfragen, die von den Originalanfragen des Angreifers erzeugt wurden, auf einen Proxy umgeleitet werden, der vom Angreifer kontrolliert wird. Dies ermöglicht dem Angreifer potenziell vertrauliche Daten einzusehen, mit falsch formatierten Daten zu antworten oder Verbindungen offen zu halten, wodurch möglicherweise eine Verweigerung des Dienstes verursacht wird.
Resolution
Zur Lösung dieses Problems wurde httpd modifiziert, nicht den Wert des Proxy HTTP Headers an die CGI-Skript Umgebung zu exportieren. Auf dem Tab "Lösungen" des Schwachstellen-Artikels HTTPoxy - CGI "HTTP_PROXY" Variablenname kollidiert finden Sie die Liste von httpd-Errata für die verschiedenen Red Hat Produkte, die diese Änderung umsetzen.
Dieses Problem kann alternativ über die httpd Konfiguration angegangen werden, indem man das mod_headersErweiterungsmodul mit folgender Konfiguration verwendet:
RequestHeader unset Proxy
Diese Einstellung bewirkt, dass httpd die Einstellung von Proxy-Headern eingehender HTTP-Anfragen aufhebt, bevor die CGI-Umgebung initialisiert wird. Unter Apache - Mod Headers finden Sie weitere Informationen über die RequestHeader Konfigurationsdirektive.
Root Cause
Weitere Informationen finden Sie unter HTTPoxy - CGI "HTTP_PROXY" Variablenname kollidiert.
This solution is part of Red Hat’s fast-track publication program, providing a huge library of solutions that Red Hat engineers have created while supporting our customers. To give you the knowledge you need the instant it becomes available, these articles may be presented in a raw and unedited form.
Comments