Обнаружена уязвимость, позволяющая совершить MITM-атаку

Обнаружена уязвимость, позволяющая совершить MITM-атаку

Опубликована информация об уязвимости под кодовым названием Httpoxy, которая охватывает достаточно большой пласт http-серверов, но может применяться для ограниченного набора серверных web-приложений, осуществляющих обращение к внешним Web API.

Уязвимость вызвана дублированием назначения переменной окружения HTTP_PROXY, которая может быть выставлена как для определения системных настроек прокси-сервера, так и на основе трансляции переданного клиентом HTTP-заголовка "Proxy:" в соответствии с требованиями RFC 3875.

Создание системной переменной окружения HTTP_PROXY является достаточно простым способ для организации работы http-клиентов через прокси. Суть проблемы в том, что существует пласт полагающихся на переменную окружения HTTP_PROXY библиотек, которые могут использоваться в работающих на стороне сервера web-приложениях для обращения к внешним ресурсам, например, для отправки запросов к различным Web API, загрузки файлов или выполнения проверок (проверка наличия введённого URL, обращение к внешним службам аутентификации и т.п.). В случае передачи HTTP-заголовка "Proxy:" http-сервер также создаст переменную окружения HTTP_PROXY, но уже на основании данных пользователя, что позволяет направить все сетевые запросы уязвимого web-приложения через определённый прокси-сервер, передает opennet.ru.

Предположим, что имеется CGI-скрипт, отправляющий запрос к внешнему Web API для проверки параметров аутентификации клиента и использующий для отправки этого запроса библиотеку, распознающую переменную окружения HTTP_PROXY. Обращение к этому скрипту с подставным HTTP-заголовком "Proxy:" приведёт к установке переменной окружения HTTP_PROXY и запрос будет сделан не на прямую, а через IP, указанный атакующим через заголовок "Proxy:". Направив таким способом скрипт на фиктивный обработчик API, атакующий может симулировать успешную проверку или подсмотреть приватные данные, отправляемые в составе внутреннего запроса к API.

Проблема касается только web-приложений, выполняющих внешние запросы и использующих для отправки запроса проблемные HTTP-клиенты. Например, уязвимость проявляется в программах на PHP (php-fpm, mod_php - CVE-2016-5385), использующих библиотеки Guzzle 4+и Artax, в CGI-скриптах на Python (wsgiref.handlers.CGIHandler, twisted.web.twcgi.CGIScript - CVE-2016-1000110), использующих библиотекуRequests, в Apache Tomcat (CVE-2016-5388) и в программах на языке Go (net, http, cgi - CVE-2016-5386), применяющих модуль net/http. В Curl и Perl (libwww-perl) проблема была устранена ещё в 2001 году. В Ruby аналогичная уязвимость в Net::HTTP была исправлена в 2012 году.

Наиболее простым способом устранения уязвимости является блокирование обработки HTTP-заголовка Proxy на стороне http-сервера. Например, в Apache httpd достаточно воспользоваться модулем mod_headers.so и добавить директиву "RequestHeader unset Proxy early", а вnginx принудительно очистить переменную HTTP_PROXY директивой "fastcgi_param HTTP_PROXY ''". 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ФСТЭК России продлил сертификат для МойОфис Защищенное облако

Федеральная служба по техническому и экспортному контролю (ФСТЭК России) продлила сертификат соответствия №4119 для решения «МойОфис Защищенное Облако» до 14 апреля 2029 года. Согласно данному документу, продукт соответствует четвёртому уровню доверия.

Сертифицированная версия «МойОфис Защищенное Облако» может использоваться:

  • На значимых объектах критической информационной инфраструктуры (КИИ);
  • Для обработки конфиденциальной информации и персональных данных любых категорий в информационных системах.

Использование сертифицированного решения позволяет компаниям соблюдать законодательные требования в области защиты данных и сведений ограниченного доступа, что снижает юридические риски и облегчает процесс аттестации инфраструктуры у регуляторов.

В обновлённых версиях «МойОфис Защищенное Облако» реализован ряд новых функций, направленных на повышение безопасности:

  • Двухфакторная аутентификация — значительно снижает риск компрометации учётных данных, даже если злоумышленники получили доступ к паролю.
  • Автоматическое завершение неактивных сессий — предотвращает несанкционированный доступ к открытым документам.
  • Отслеживание изменений в файлах — позволяет пользователям видеть, какие правки были внесены в ходе работы.
  • Расширенный поиск сотрудников — упрощает навигацию и взаимодействие внутри системы.

Сергей Тридневко, директор по безопасности «МойОфис», отметил:

«Регулярное прохождение сертификационных испытаний — важный этап в развитии продукта, предназначенного для организаций с высокими требованиями к защите данных. Наши пользователи могут быть уверены, что технологии, заложенные в “МойОфис Защищенное Облако”, соответствуют современным стандартам безопасности и эффективно противостоят киберугрозам».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru