ウェブサーバ運営者は要注意、脆弱性「httpoxy」見つかる

CGIなどを利用するウェブサーバにおいて、環境変数「HTTP_PROXY」がサーバ運営者の意図に反した値に設定されるおそれがある脆弱性「httpoxy」が判明した。ソフトウェアの開発者やセキュリティ機関などでは緩和策の実施を呼びかけている。

「PHP」や「Python」をはじめ、CGIなどを利用している環境において、外部よりサーバの環境変数「HTTP_PROXY」に対し、意図しない値が設定される脆弱性が判明したもの。脆弱性により設定が変更されると、同環境変数を参照して外部へ接続する際にマンインザミドル攻撃（MITM攻撃）を受けたり、不正なホストへ誘導されるおそれがある。

「PHP（CVE-2016-5385）」「Python（CVE-2016-1000110）」「GO（CVE-2016-5386）」のほか、「Apache HTTP Server（CVE-2016-5387）」「Apache Tomcat（CVE-2016-5388）」「HipHop Virtual Machine（CVE-2016-1000109）」などに脆弱性が判明しているが、これら以外のソフトウェアも影響を受けるおそれがある。

セキュリティ機関では、開発者が公表する情報へ注意を払うよう呼びかけるとともに、リクエストに含まれる「Proxyヘッダ」のブロックや、CGIなどにおいて環境変数「HTTP_PROXY」の利用を制限したり、ウェブサーバから「HTTP」によるアウトバウンドの通信を制限するなど、緩和策の実施を呼びかけている。

（Security NEXT - 2016/07/19 ）ツイート

ウェブサーバ運営者は要注意、脆弱性「httpoxy」見つかる

関連リンク

PR

関連記事