一般に書き込み可能なディレクトリ

high Web App Scanning プラグイン ID 98099

概要

一般に書き込み可能なディレクトリ

説明

ファイルを Web サーバーにアップロードするメソッドはいくつもあります。使用できるメソッドの 1 つは、HTT Pの「PUT」メソッドです。「PUT」メソッドは主にアプリケーションの開発中に使用され、開発者は Web ルート内のサーバーにファイルをアップロード (または配置) できるようになります。

設計の性質上、通常、「PUT」メソッドにはフィルタリング機能がないため、サーバー側の実行可能なコード (PHP、ASP など) をサーバーにアップロードすることが可能です。

サイバー犯罪者は、既存のページを改ざんしたり、Web シェルをアップロードしてサーバーをコントロールしたりしようとして、「PUT」メソッドをサポートしているサーバーを検索します。

スキャナーが、影響を受けるパスによってクライアントが「PUT」メソッドを使用できるようになることを検出しました。このテスト中、スキャナーは Web ルート内のサーバー上でファイルを「PUT」し、その場所に対して「GET」リクエストを正常に実行し、コンテンツを検証しました。

ソリューション

可能であれば、HTTP の「PUT」メソッドをグローバルに無効化する必要があります。これは通常、サーバーの簡単な構成変更によって実施できます。「PUT」メソッドを無効にする手順は、使用しているサーバーのタイプ (IIS、Apache など) によって異なります。
REST スタイルの Web サービスなどのアプリケーション機能を満たすために「PUT」メソッドが必要な場合は、厳格な制限を実装して、安全な (SSL/TLS が有効になっている) クライアントと承認されたクライアントのみが「PUT」メソッドを使用できるようにする必要があります。
さらに、サーバーのファイルシステムの権限でも、厳格な制限を実施する必要があります。

参考資料

http://www.w3.org/Protocols/rfc2616/rfc2616-sec9.html

プラグインの詳細

深刻度: High

ID: 98099

タイプ: remote

ファミリー: Web Servers

公開日: 2017/3/31

更新日: 2021/11/26

スキャン テンプレート: api, basic, full, pci, scan

リスク情報

VPR

リスクファクター: Low

スコア: 3.4

CVSS v2

リスクファクター: High

基本値: 7.5

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS スコアのソース: Tenable

CVSS v3

リスクファクター: High

基本値: 7.3

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

CVSS スコアのソース: Tenable

参照情報