Обнаружена уязвимость, позволяющая совершить MITM-атаку

Александр Панасенко 19 Июля 2016 - 13:30

...

Обнаружена уязвимость, позволяющая совершить MITM-атаку

Опубликована информация об уязвимости под кодовым названием Httpoxy, которая охватывает достаточно большой пласт http-серверов, но может применяться для ограниченного набора серверных web-приложений, осуществляющих обращение к внешним Web API.

Уязвимость вызвана дублированием назначения переменной окружения HTTP_PROXY, которая может быть выставлена как для определения системных настроек прокси-сервера, так и на основе трансляции переданного клиентом HTTP-заголовка "Proxy:" в соответствии с требованиями RFC 3875.

Создание системной переменной окружения HTTP_PROXY является достаточно простым способ для организации работы http-клиентов через прокси. Суть проблемы в том, что существует пласт полагающихся на переменную окружения HTTP_PROXY библиотек, которые могут использоваться в работающих на стороне сервера web-приложениях для обращения к внешним ресурсам, например, для отправки запросов к различным Web API, загрузки файлов или выполнения проверок (проверка наличия введённого URL, обращение к внешним службам аутентификации и т.п.). В случае передачи HTTP-заголовка "Proxy:" http-сервер также создаст переменную окружения HTTP_PROXY, но уже на основании данных пользователя, что позволяет направить все сетевые запросы уязвимого web-приложения через определённый прокси-сервер, передает opennet.ru.

Предположим, что имеется CGI-скрипт, отправляющий запрос к внешнему Web API для проверки параметров аутентификации клиента и использующий для отправки этого запроса библиотеку, распознающую переменную окружения HTTP_PROXY. Обращение к этому скрипту с подставным HTTP-заголовком "Proxy:" приведёт к установке переменной окружения HTTP_PROXY и запрос будет сделан не на прямую, а через IP, указанный атакующим через заголовок "Proxy:". Направив таким способом скрипт на фиктивный обработчик API, атакующий может симулировать успешную проверку или подсмотреть приватные данные, отправляемые в составе внутреннего запроса к API.

Проблема касается только web-приложений, выполняющих внешние запросы и использующих для отправки запроса проблемные HTTP-клиенты. Например, уязвимость проявляется в программах на PHP (php-fpm, mod_php - CVE-2016-5385), использующих библиотеки Guzzle 4+и Artax, в CGI-скриптах на Python (wsgiref.handlers.CGIHandler, twisted.web.twcgi.CGIScript - CVE-2016-1000110), использующих библиотекуRequests, в Apache Tomcat (CVE-2016-5388) и в программах на языке Go (net, http, cgi - CVE-2016-5386), применяющих модуль net/http. В Curl и Perl (libwww-perl) проблема была устранена ещё в 2001 году. В Ruby аналогичная уязвимость в Net::HTTP была исправлена в 2012 году.

Наиболее простым способом устранения уязвимости является блокирование обработки HTTP-заголовка Proxy на стороне http-сервера. Например, в Apache httpd достаточно воспользоваться модулем mod_headers.so и добавить директиву "RequestHeader unset Proxy early", а вnginx принудительно очистить переменную HTTP_PROXY директивой "fastcgi_param HTTP_PROXY ''".

Следующая главная новость »

Публичное облако 2026: где заканчивается удобство и начинаются риски?
Регистрируйтесь на эфир!

Екатерина Быстрова 04 Июня 2026 - 18:05

Корпорации Государство Security Vision

Татарстан и Security Vision займутся кибербезопасностью в регионе

Правительство Татарстана и компания Security Vision подписали стратегическое соглашение о сотрудничестве в сфере кибербезопасности. Документ заключили на Петербургском международном экономическом форуме 2026 года. Стороны планируют вместе работать над защитой значимых предприятий региона, развивать подходы к информационной безопасности и повышать цифровую грамотность жителей.

Это соглашение стало продолжением уже действующего сотрудничества. Ранее Security Vision вместе с Центром информационных технологий Республики Татарстан участвовала в создании системы автоматизации процессов кибербезопасности для регионального правительства.

Сейчас платформа Security Vision установлена в правительственном центре обработки данных Татарстана. С её помощью выстроены процессы информационной безопасности более чем для 20 министерств и ведомств. По сути, речь идёт о единой системе, которая помогает координировать защиту цифровой инфраструктуры республиканских органов власти.

В рамках нового соглашения стороны будут обмениваться опытом, совместно прорабатывать подходы к защите информации и реагированию на киберугрозы. Отдельный акцент сделают на устойчивости значимых предприятий региона, для которых сбои и инциденты в цифровой среде могут быть особенно чувствительными.

Ещё одно направление — образование. В планах есть повышение квалификации специалистов по информационной безопасности, развитие инициатив по киберграмотности и популяризация профессии защитника информации. Часть проектов могут реализовать на базе Университета Иннополис.

Также Татарстан и Security Vision намерены совместно проводить лекции, семинары и другие просветительские мероприятия для жителей региона. Кроме того, стороны продолжат участвовать в отраслевых событиях, включая Kazan Digital Week.

Министр цифрового развития Татарстана Илья Начвин отметил, что республика уже выстроила единую защищённую экосистему на базе Центра информационных технологий. По его словам, новое соглашение должно помочь развивать эту инфраструктуру дальше.

Гендиректор Security Vision Руслан Рахметов подчеркнул, что совместные инициативы будут касаться как повышения киберграмотности, так и защиты значимых предприятий региона.

Публичное облако 2026: где заканчивается удобство и начинаются риски?
Регистрируйтесь на эфир!