CONNECT Método Permitido na Vulnerabilidade do Servidor HTTP ou Servidor Proxy HTTP

Question

Meus detalhes de configuração:

• SO: RHEL7
• Servidor da Web: servidor http Apache (SSL ativado)
• AppContainer: NodeJS
• O Webserver se conecta ao NodeJS via mod_proxy.

Eu bloqueei o método connect no servidor http do apache usando a configuração abaixo. Mas ainda assim, a vulnerabilidade do método de conexão persiste. Preciso fazer alguma coisa no lado do NodeJS?

RewriteCond %{REQUEST_METHOD} !^(GET|POST|PUT|DELETE|HEAD)
RewriteRule .* - [R=405,L]

    

Answer 1

O motivo mais comum para um problema genérico como este não é ativar o mod_rewrite com RewriteEngine on no contexto em que você RewriteRule foi colocado.

No entanto, mesmo se for esse o caso, sugiro usar <Limit> ou <LimitExcept> blocks, ou melhor ainda, não carregar mod_proxy_connect para que o método CONNECT não tenha como ser usado. Se você é tratado por seu aplicativo, claro, isso também precisaria ser desabilitado.

Informações adicionais após comentários:

Não modifique o bloco <Directory /> que vem com sua configuração, ele deve ser deixado como está.

Além disso, não coloque (como eu disse em meus comentários) o bloco <Limit> dentro de outro bloco (no seu caso um bloco <Directory> . As diretivas de configuração em um bloco <Directory> só terão efeito se a requisição for mapeada para o sistema de arquivos, mas você está intermediando / para outro serviço em exemplo.com , o que significa que as solicitações não são mapeadas para o sistema de arquivos e, portanto, <Limit> bloco nunca terá efeito.