ウェブサーバ運営者は要注意、脆弱性「httpoxy」見つかる

CGIなどを利用するウェブサーバにおいて、環境変数「HTTP_PROXY」がサーバ運営者の意図に反した値に設定されるおそれがある脆弱性「httpoxy」が判明した。ソフトウェアの開発者やセキュリティ機関などでは緩和策の実施を呼びかけている。

「PHP」や「Python」をはじめ、CGIなどを利用している環境において、外部よりサーバの環境変数「HTTP_PROXY」に対し、意図しない値が設定される脆弱性が判明したもの。脆弱性により設定が変更されると、同環境変数を参照して外部へ接続する際にマンインザミドル攻撃（MITM攻撃）を受けたり、不正なホストへ誘導されるおそれがある。

「PHP（CVE-2016-5385）」「Python（CVE-2016-1000110）」「GO（CVE-2016-5386）」のほか、「Apache HTTP Server（CVE-2016-5387）」「Apache Tomcat（CVE-2016-5388）」「HipHop Virtual Machine（CVE-2016-1000109）」などに脆弱性が判明しているが、これら以外のソフトウェアも影響を受けるおそれがある。

セキュリティ機関では、開発者が公表する情報へ注意を払うよう呼びかけるとともに、リクエストに含まれる「Proxyヘッダ」のブロックや、CGIなどにおいて環境変数「HTTP_PROXY」の利用を制限したり、ウェブサーバから「HTTP」によるアウトバウンドの通信を制限するなど、緩和策の実施を呼びかけている。

（Security NEXT - 2016/07/19 ） ツイート

PR

関連記事

Fortinet、アドバイザリ13件を公開 - 複数製品の脆弱性を修正
「Rust」によるWindowsバッチ処理に脆弱性 - アップデートが公開
Juniper Networks、セキュリティアドバイザリ36件を公開 - 「クリティカル」も
「PAN-OS」に関する脆弱性7件を修正 - Palo Alto Networks
「OpenSSL」にサービス拒否の脆弱性 - 次期更新で修正予定
「Node.js」にコマンドインジェクションの脆弱性 - Windows環境に影響
「Chrome」に3件の脆弱性 - アップデートが公開
ビデオ会議サービス「Zoom」のクライアントソフトに脆弱性
MS、4月の月例パッチで脆弱性147件に対応 - 1件は悪用済み
「WordPress 6.5.2」が公開 - XSS脆弱性を修正