HTTPoxy - ¿Se ha afectado mi Apache mod_fcgid?
Environment
Red Hat Enterprise Linux 7.x
Issue
Este problema tiene lugar cuando usted está utilizando mod_fcgid con PHP, Python, Go y posiblemente otros lenguajes. Si su script FastCGI abre una conexión HTTP para otro servicio, toda solicitud saliente generada a partir de una solicitud original de los atacantes puede ser redirigida a un proxy controlado por el atacante.
Resolution
Para abordar este problema, instale la versión actualizada de httpd o utilice el módulo de extensión mod_headers para eliminar el encabezamiento de Proxy de las solicitudes entrantes HTTP. Consulte la solicitud HTTPoxy - Is my Apache mod_cgi affected? para ver los detalles.
Observe que cuando la directiva de configuración FcgidPassHeader Proxy se utiliza en la configuración mod_fcgid, la variable HTTP_PROXY con el valor del encabezamiento de solicitud de Proxy aún estará disponible para los scripts FastCG, incluso cuando se instalan los paquetes httpd actualizados. Por lo tanto, asegúrese de que la directiva de configuración mencionada no sea utilizada en la configuración mod_fcgid para resolver completamente el problema.
Root Cause
Consulte HTTPoxy - CGI "HTTP_PROXY" variable name clash para obtener más información.
This solution is part of Red Hat’s fast-track publication program, providing a huge library of solutions that Red Hat engineers have created while supporting our customers. To give you the knowledge you need the instant it becomes available, these articles may be presented in a raw and unedited form.
Comments