Сбой PCI из-за обнаружения обратного прокси HTTP
Мы используем метрики безопасности для проверки соответствия PCI. В прошлом не было никаких проблем, но наше последнее сканирование показало, что мы потерпели неудачу из-за "Обнаружения обратного прокси HTTP". Я предполагаю, что это связано либо со статическими активами, либо с тем, как героку прокладывается за кулисами. В любом случае, я не совсем уверен, куда идти. Я искал, и я ничего не могу найти. Поддержка Heroku оказалась бесполезной.
Мы используем Rails 4 на Ruby 2. Ниже приведены все сообщения об ошибках из метрик безопасности. Любая помощь будет оценена.
TCP 443 https 5.8 Описание: Обнаружение обратного прокси HTTP Краткий обзор: Прозрачный или обратный прокси HTTP работает на этом порту. Воздействие. Этот веб-сервер доступен через обратный HTTP-прокси. Полученные данные: метод GET выявил прокси на пути к этому веб-серверу: HTTP/1.1 vegur Разрешение: отсутствует Фактор риска: средний / Базовый балл CVSS2: 5,8 (AV:N/AC:M/Au:N/C:P/I:P/A:N) CVE: CVE-2004-2320 Дополнительные CVE: CVE-2007-3008 CVE-2005-3498 CVE-2005-3398
TCP 80 http 5.8 Описание: Обнаружение обратного прокси-сервера HTTP Краткий обзор: Прозрачный или обратный прокси-сервер HTTP работает на этом порту. Воздействие. Этот веб-сервер доступен через обратный HTTP-прокси. Полученные данные: метод GET выявил прокси на пути к этому веб-серверу: HTTP/1.1 vegur Разрешение: отсутствует Фактор риска: средний / Базовый балл CVSS2: 5,8 (AV:N/AC:M/Au:N/C:P/I:P/A:N) CVE: CVE-2004-2320 Дополнительные CVE: CVE-2007-3008 CVE-2005-3498 CVE-2005-3398
1 ответ
Пожалуйста, прочитайте ссылки CVE бюллетеней.
Риск в основном сводится к: "метод HTTP TRACE включен".
Злоумышленники могут злоупотреблять функциональностью HTTP TRACE, чтобы получить доступ к информации в заголовках HTTP, такой как файлы cookie и данные аутентификации. При наличии других междоменных уязвимостей в веб-браузерах конфиденциальная информация заголовка может считываться с любых доменов, поддерживающих метод HTTP TRACE.
Источник: CERT
Чтобы решить эту проблему, вам просто нужно отключить метод HTTP TRACE.
Для Heroku см. Например: https://stackoverflow.com/questions/17473760/disabled-http-methods-on-heroku