SRV-148 (Apache) 웹 서비스 정보 노출

SRV-148 (Apache) 웹 서비스 정보 노출

【 상세설명 】
웹 서버 종류 및 버전 등에 대한 정보가 노출될 경우 공격자가 기타 공격에 활용할 가능성이 있으므로 적절한 보안 설정이 되었는지 점검

【 판단기준 】
- 양호 : 웹 서버 응답에 노출되는 정보가 없는 경우
- 취약 : 웹 서버 응답에 노출되는 정보(서비스명 + 버전정보)가 있는 경우

※ 정보 노출: 서비스명 + 버전 정보가 노출되는 경우 취약

【 판단방법 】
  1. 웹 서비스 설정 파일에서 ServerTokens 설정 확인
      ※ "ServerTokens" 설정이 존재하지 않거나 "Prod" 가 아닌 값으로 설정 시 "취약"

  ■ Linux, AIX, HP-UX, SOLARIS
      # cat /etc/apache2/httpd.conf | grep "ServerTokens"
      # cat /etc/apache2/apache2.conf | grep "ServerTokens"
      # cat /etc/httpd/httpd.conf | grep "ServerTokens"
      # cat /etc/httpd/conf/httpd.conf | grep "ServerTokens"
      # cat /<HTTPD_ROOT>/apache2.conf | grep "ServerTokens"
      # cat /<HTTPD_ROOT>/httpd.conf | grep "ServerTokens"
      # cat /<HTTPD_ROOT>/conf/httpd.conf | grep "ServerTokens"
          ServerTokens OS

      ※ Apache Web Root 경로 확인(HTTPD_ROOT)
          # apachectl -V | grep "HTTPD_ROOT"
          # apache2 -V | grep "HTTPD_ROOT"
          # httpd -V | grep "HTTPD_ROOT"
              -D HTTPD_ROOT="/etc/apache2"

      ※ 웹 서비스 설정 파일에 ServerTokens 설정이 없는 경우 하위 설정 파일 및 모듈 파일에서 확인
          (/etc/apache2/conf-enabled/security.conf, /<HTTPD_ROOT>/conf/extra/httpd-default.conf 파일 등)

  ※ ServerTokens 옵션 // 예시 
      - Prod[uctOnly] : 웹 서버 종류 // Server: Apache
      - Major : Prod 키워드 제공 정보 + 웹 서버 메이저 버전 // Server: Apache/2
      - Minor : Major 키워드 제공 정보 + 웹 서버 마이너 버전 // Server: Apache/2.4
      - Min[imal] : Minor 키워드 제공 정보 + 웹 서버 풀 버전 // Server: Apache/2.4.57
      - OS : Min 키워드 제공 정보 + 운영체제 종류 // Server Apache/2.4.57 (Debian)
      - Full(or not specified) : OS 키워드 제공 정보 + 설치된 모듈(응용프로그램) 정보 // Server: Apache/2.4.57 (Debian) PHP/4.2.2 MyMod/1.2

【 조치방법 】
  1. 웹 서비스 설정 파일에서 ServerTokens "Prod" 설정
  2. (ServerSignature 설정이 필요한 경우) 웹 서비스 설정 파일에서 ServerSignature "Off" 설정
  3. 웹 서비스 재시작

  2024-01-13 : (조치과정 삭제)