Numéro : AV16-116
Date : Le 18 juillet 2016
Objet
Le but de cet avis est d'attirer l'attention sur les avis de sécurité multiples publiées concernant différents serveurs Web exécutant Common Gateway Interface (CGI).
Évaluation
CCRIC est conscient des multiples vulnérabilités affectant les hôtes de serveur Web exécutant CGI (ou permettant l'exécution de scripts CGI ) . L'exploitation de ces vulnérabilités peut permettre à un attaquant de mener attaques man-in-the-middle (MITM) et / ou créer des conditions de refus de service.
Ces vulnérabilités peuvent être exploitable sur tout serveur web permettant l'exécution de script CGI et / ou script similaire à CGI, avec la permission d'utiliser la variable " HTTP_PROXY "
Références CVE : CVE-2016-5385, CVE-2016-5386, CVE-2016-5387, CVE-2016-5388, CVE-2016-1000109, CVE-2016-1000110
Mesures Recommandées
CCRIC recommande que les administrateurs système identifient leurs actifs touchés et les interdépendances potentiels avec des services essentiels de leur organisation, et de suivre leur processus de gestion des correctifs en conséquence ou envisager d'appliquer les solutions de contournement.
Références :
CERT/CC Vulnerability Note VU#797896 - CGI web servers assign Proxy header values from client requests to internal HTTP_PROXY environment variables:
http://www.kb.cert.org/vuls/id/797896 (en anglais)
Security Researcher Website – httpoxy:
https://httpoxy.org (en Anglais)