A salvo de la vulnerabilidad httpoxy o cómo ir un paso por delante compensa

Una peligrosa vulnerabilidad fácil de explotar llamada httpoxy descubierta hace 15 años, ha reaparecido esta semana de nuevo, dejando el software web que reside en los servidores potencialmente vulnerable a ataques y amenazas. Este agujero de seguridad afecta a un gran número de aplicaciones web PHP y CGI. Esto significa que todo lo que funcione con PHP, Apache, Go, HHVM, Python puede ser vulnerable si se ve afectado. Este exploit facilita ataques intermedios que pueden comprometer los servidores web y acceder potencialmente a datos sensibles o incluso, tomar el control del código. Gracias a nuestro sistema único desarrollado por nosotros, y a muchas precauciones tomadas de antemano y a tiempo por nuestro equipo de desarrolladores, los clientes de SiteGround no se han visto afectados por el regreso de esta vulnerabilidad.

¿Cómo funciona este fallo?

El atacante elabora un encabezado Proxy HTTP específico en una solicitud a la aplicación para crear un entorno variable común llamado HTTP_PROXY en el servidor de aplicaciones. Entonces la aplicación, debido a un conflicto de nombre usa el servidor proxy definido en esa variable en cualquiera de las conexiones HTTP salientes. De esta manera si el atacante ha apuntado el HTTP_PROXY a un servidor malicioso, puede interceptar las conexiones de la aplicación web a otros sistemas y, dependiendo de como esté diseñado el código, tener potencialmente el control remoto de la ejecución del mismo. La mejor forma de mitigarlo es bloqueando las peticiones del encabezado PROXY lo antes posible, antes de que impacten en tu aplicación.

¿Cómo evitamos que nos afecte la vulnerabilidad ahora?

Tenemos nuestra propia configuración PHP y CGI que desarrollamos en 2007 y que continúa manteniéndose y mejorándose hasta hoy. Tiempo atrás, cuando nuestro equipo de desarrolladores empezó a trabajar en ella, se dieron cuenta que había un fallo potencial en el uso del encabezado PROXY. Por eso, como precaución, decidieron excluir el encabezado PROXY de nuestra lista de parámetros de entorno permitidos. Esto significa que no sólo no necesitamos desconfigurar el encabezado HTTP_PROXY como los expertos de seguridad recomiendan en estos casos, sino que simplemente no permitimos que se incluya en ninguna petición HTTP.

Gracias a nuestros especialistas en seguridad y nuestro equipo de diseño de sistemas, somos capaces de predecir este tipo de vulnerabilidades y diseñar proactivamente nuestros sistemas de manera que, si por alguna razón esas vulnerabilidades reaparecen, nuestros clientes sigan a salvo y protegidos.