Apache mod_negotiation の代替ファイル名の漏洩

medium Web App Scanning プラグイン ID 113165

Language:

概要

説明

mod_negotiation および Multiviews を有効にして構成された Apache Web サーバーは、拡張子のないファイル名を持つ細工された無効なリクエストを受信すると、既知の MIME タイプと一致するリソースの疑似ディレクトリリストを返す可能性があります。この機能が攻撃者に悪用され、ブルートフォースメソッドに頼らずにサーバー上の非表示のリソースが発見される可能性があります。スキャナーが、この手法を使用してサーバー上のファイルを検出しました。

ソリューション

必要でないファイルは、Web ルートおよび/またはアプリケーションディレクトリから削除するか、追加のアクセス制御によって制限する必要があります。Apache 構成でのマルチビューの削除は、このメソッドを使用したこれらのファイルの存在の漏洩を回避するために使用できますが、攻撃者がそれらを発見するのを妨げるに過ぎない可能性があるため、完全なソリューションとは見なされません。