CVE-2016-6287
Açıklama
"http-client" egg'i, bir CGI işlemi olarak çalışırken bile, HTTP trafiğinin bir proxy üzerinden yönlendirilip yönlendirilmeyeceğini belirlemek için her zaman bir HTTP_PROXY ortam değişkeni kullanıyordu. Birkaç web sunucusu altında bu durum, kullanıcı tarafından sağlanan bir "Proxy" başlığının, bir saldırganın tüm HTTP isteklerini bir proxy üzerinden yönlendirmesine izin verebileceği anlamına geliyordu ("httpoxy" saldırısı olarak da bilinir). Bu durum, 0.10 öncesindeki tüm http-client sürümlerini etkilemektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| call-cc http-client | v ≤ 0.9 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.