HTTPoxy Vulnerability

[mustafaramadhan]

Berarti untuk saat ini panel yg sdh patch "kemungkinan" (webserver bawaan) baru Kloxo-mr yach pak, berarti untuk user kloxo-mr tinggal melakukan update kah

Saya masih belum sich, mungkin malam nanti saat sdh agak mendingan

Setahu saya baru Kloxo-MR yang 'ribut' masalah ini. Bahkan Kloxo-MR 6.5 (biarpun sudah final) ada update untuk ini.

Ada diskusi yang sama di https://www.lowendtalk.com/

 

[FluidaWeb]

php 5.5 5.6 5.6 sudah mengerluarkan patch
recompile php

 

[mustafaramadhan]

php 5.5 5.6 5.6 sudah mengerluarkan patch
recompile php

Jauh lebih penting mitigasi di webserver daripada patch di php.

 

[pluto01]

Setahu saya baru Kloxo-MR yang 'ribut' masalah ini. Bahkan Kloxo-MR 6.5 (biarpun sudah final) ada update untuk ini.

Btw yg diupdate hanya hiawatha/hiawathaproxy yach pak, nginx/apache/lighttpd ga sekalian ? hehhehehehe

 

[FluidaWeb]

webserver tersebut setahu saya blm mengeluarkan update, patch pada php-fpm nya

 

[mustafaramadhan]

Btw yg diupdate hanya hiawatha/hiawathaproxy yach pak, nginx/apache/lighttpd ga sekalian ? hehhehehehe

Semesti sudah. Biarpun demikian memang ada sedikit masalah untuk apache.

Logikanya begini:

Pada hiawatha (logika yang sama untuk lighttpd) untuk menangani httpoxy vul ini dengan 'Header Proxy .* DenyAccess', sedangkan nginx dengan 'fastcgi_param HTTP_PROXY "";' dan 'proxy_set_header Proxy "";' dan apache dengan 'RequestHeader unset Proxy early'.

Perhatikan. Bahwa hiawatha melakukan 'perlawanan' dengan 'DenyAccess' sedangkan nginx dan apache tidak melakukan 'perlawanan' melainkan melakukan 'menghapus' header terkait (nginx melalui 'HTTP_PROXY' dan apache 'unset Proxy'.

Ini sebabnya nginx dan apache tetap 'meneruskan' request tersebut.

Saya telah menemukan cara untuk melakukan 'perlawanan' di nginx yaitu dengan menambahkan 'if ($http_proxy != "") { return 403; }' pada configuration.
Sedangkan di apache belum ketemu cara yang 'elegant'.

 

[IIXPLANET]

Untuk apache bs diterapkan memakai mod security sudah saya coba dan work 403 forbidden dengan menambahkan status:403 sebelum msg.

Btw untuk nginx varnish dan default apache sendiri apabila di unset proxy tersebut bukannya harusnya sudah fix ya walau memang benar request tetap jalan sampai completed.

 

[FluidaWeb]

Untuk apache bs diterapkan memakai mod security sudah saya coba dan work 403 forbidden dengan menambahkan status:403 sebelum msg.

Btw untuk nginx varnish dan default apache sendiri apabila di unset proxy tersebut bukannya harusnya sudah fix ya walau memang benar request tetap jalan sampai completed.

ya sudah, tidak harus 403

 

[IDreg.Net]

berdasarkan info yg saya dapat tidak semua webserver melakukan DENY sumber untuk patch ada di https://httpoxy.org
NGINX/FastCGI

fastcgi_param HTTP_PROXY "";

Apache

RequestHeader unset Proxy early

Apache di .htaccess

<IfModule mod_headers.c>
   RequestHeader unset Proxy
</IfModule>

HAProxy

http-request del-header Proxy

Varnish

sub vcl_recv {
    [...]
    unset req.http.proxy;
    [...]
}

OpenBSD relayd

http protocol httpfilter {
        match request header remove "Proxy"
}

lighttpd

req_header.remove "Proxy";

Microsoft IIS with PHP or a CGI framework
jalankan command berikut ini

appcmd set config /section:requestfiltering /+requestlimits.headerLimits.[header='proxy',sizelimit='0']

Hiawatha

UrlToolkit {
  ToolkitID = block_httpoxy
  Header Proxy .* DenyAccess
}

LiteSpeed Web Server
cukup lakukan Upgrade to >= 5.0.19 or >= 5.1.7 sumber litespeed blog

 

[Mylo Sepz]

Ini cuma berlaku buat NGINX/FastCGI? soalnya saya gak pake PHP di NGINX, saya pake NodeJS dengan config:

server {
    server_name mseptian.id;
    location / {
        proxy_pass http://127.0.0.1:[port NodeJS];
}

Tetapi pas di cek masih 200 OK apa perlu di patch?