Vulnérabilité Serveur Web CGI

Numéro : AV16-116
Date : Le 18 juillet 2016

Objet

Le but de cet avis est d'attirer l'attention sur les avis de sécurité multiples publiées concernant différents serveurs Web exécutant Common Gateway Interface InterfaceFrontière où transitent les communications entre deux systèmes. Il peut s’agir d’un connecteur matériel utilisé pour la connexion à d’autres dispositifs ou d’une convention permettant d’établir des communications entre deux systèmes logiciels. (CGI).

Évaluation

CCRIC est conscient des multiples vulnérabilités affectant les hôtes de serveur Web exécutant CGI (ou permettant l'exécution de scripts CGI ) . L'exploitation de ces vulnérabilités peut permettre à un attaquant de mener attaques man-in-the-middle (MITM) et / ou créer des conditions de refus de service.

Ces vulnérabilités peuvent être exploitable sur tout serveur web permettant l'exécution de script CGI et / ou script similaire à CGI, avec la permission d'utiliser la variable " HTTP_PROXY "

Références CVE : CVE-2016-5385, CVE-2016-5386, CVE-2016-5387, CVE-2016-5388, CVE-2016-1000109, CVE-2016-1000110

Mesures Recommandées

CCRIC recommande que les administrateurs système identifient leurs actifs touchés et les interdépendances potentiels avec des services essentiels de leur organisation, et de suivre leur processus de gestion des correctifs en conséquence ou envisager d'appliquer les solutions de contournement.

Références :

CERT/CC Vulnerability Note VU#797896 - CGI web servers assign Proxy header values from client requests to internal HTTP_PROXY environment variables:
http://www.kb.cert.org/vuls/id/797896 (en anglais)

Security Researcher Website – httpoxy:
https://httpoxy.org (en Anglais)