取り扱っているサイトのセキュリティ試験にて、「HTTP リクエストスマグリング (HTTP Request Smuggling) の脆弱性」を指摘されました。
対応策として、バックエンドのコネクション再利用の無効が挙げられました。
この対応方法について、ご質問です。
環境
CentOS:7.2.1511
apache:2.4.6
質問
方法を調べていましたところ、apache2.2では、「ProxyPass」の「disablereuse」をonにする対応が有効と思いました。
※下記参考の2つ目のパターン1から考えると、コネクション再利用無効(disablereuse=On)と、再利用しない時点で、並行してretryも0にした方が良いのだろうと考える。
参考
http://httpd.apache.org/docs/2.2/ja/mod/mod_proxy.html
https://www.google.com/amp/s/cloudpack.media/51443/amp
ただ、現在の環境は2.4にあたってきます。
そのため、以下を参考にしました。
https://httpd.apache.org/docs/2.4/ja/mod/mod_proxy.html
このサイトを見ると「ProxyPass」の「disablereuse」はなくなっていました。
同様の設定となると、どれになってくるのだろうか、の点で悩んでおります。
「コネクション再利用の無効」にあたって、apache2.4.6では、どのような設定による対応となってくるでしょうか?
試してみた
ProxyPassのkeepaliveのOff。
ProxyRequestsのOff。
これで試行中。
回答1件
あなたの回答
tips
プレビュー
バッドをするには、ログインかつ
こちらの条件を満たす必要があります。