Мы используем метрики безопасности для сканирования на соответствие PCI. В прошлом у нас не было проблем, но последнее сканирование показало, что мы потерпели неудачу из-за «Обнаружения обратного прокси-сервера HTTP». Я предполагаю, что это связано либо со статическими активами, либо с тем, как heroku прокладывает путь за кулисами. В любом случае, я не совсем уверен, куда идти. Я поискал, но ничего не нашел. Поддержка Heroku оказалась бесполезной.
Мы используем Rails 4 на Ruby 2. Ниже приведены все сообщения об ошибках из Security Metrics. Любая помощь будет оценена.
TCP 443 https 5.8 Описание. Обнаружение обратного HTTP-прокси. Краткое описание. На этом порте работает прозрачный или обратный HTTP-прокси. Воздействие. Доступ к этому веб-серверу можно получить через обратный прокси-сервер HTTP. Полученные данные: метод GET обнаружил эти прокси на пути к этому веб-серверу: HTTP / 1.1 vegur Разрешение: н / д Фактор риска: средний / Базовая оценка CVSS2: 5,8 (AV: N / AC: M / Au: N / C : P / I: P / A: N) CVE: CVE-2004-2320 Дополнительные CVE: CVE-2007-3008 CVE-2005-3498 CVE-2005-3398
TCP 80 http 5.8 Описание: Обнаружение обратного HTTP-прокси Краткое описание: На этом порте работает прозрачный или обратный HTTP-прокси. Воздействие. Доступ к этому веб-серверу можно получить через обратный прокси-сервер HTTP. Полученные данные: метод GET выявил эти прокси на пути к этому веб-серверу: HTTP / 1.1 vegur Разрешение: нет Фактор риска: средний / Базовая оценка CVSS2: 5,8 (AV: N / AC: M / Au: N / C : P / I: P / A: N) CVE: CVE-2004-2320 Дополнительные CVE: CVE-2007-3008 CVE-2005-3498 CVE-2005-3398
Пожалуйста, прочтите упомянутые бюллетени CVE.
Риск в основном сводится к: "включен метод HTTP TRACE".
Злоумышленники могут использовать функцию HTTP TRACE для получения доступа к информации в заголовках HTTP, такой как файлы cookie и данные аутентификации. При наличии других междоменных уязвимостей в веб-браузерах конфиденциальная информация заголовка может быть прочитана из любых доменов, поддерживающих метод HTTP TRACE.
источник: CERT
Чтобы решить эту проблему, вам просто нужно отключить метод HTTP TRACE.
Для Heroku см., Например: https://stackoverflow.com/questions/17473760/disabled-http-methods-on-heroku