SRV-148 (WebtoB) 웹 서비스 정보 노출

SRV-148 (WebtoB) 웹 서비스 정보 노출

【 상세설명 】
웹 서버 종류 및 버전 등에 대한 정보가 노출될 경우 공격자가 기타 공격에 활용할 가능성이 있으므로 적절한 보안 설정이 되었는지 점검

【 판단기준 】
- 양호 : 웹 서버 응답에 노출되는 정보가 없는 경우
- 취약 : 웹 서버 응답에 노출되는 정보(서비스명 + 버전정보)가 있는 경우

※ 정보 노출: 서비스명 + 버전 정보가 노출되는 경우 취약

【 판단방법 】
  1. 웹 서비스 설정 파일에서 웹 서비스 정보 노출 제한 설정 확인
      ※ NODE 절에서 ServerTokens 설정 확인("Min[imal]", "OS", "Full" 설정 시 "취약")

  ■ Linux, AIX, HP-UX, SOLARIS
      # cat $WEBTOBDIR/config/http.m

          *NODE
          <hostname>  WEBTOBDIR="/home/tmax/webtob",
                      ...
                      ServerTokens = "minimal",
                      ...
          *VHOST
          ...

  ■ Windows
      cmd > notepad %WEBTOBDIR%\config\http.m

          *NODE
          <hostname>  WEBTOBDIR="C:\TmaxSoft\WebtoB5.0",",
                      ...
                      ServerTokens = "minimal",
                      ...
          *VHOST
          ...

【 조치방법 】
  1. 웹 서비스 설정 파일에서 웹 서비스 정보 노출 제한 설정
      ※ NODE 절에서 ServerTokens 설정 확인("Min[imal]", "OS", "Full" 설정 시 "취약")
      ※ WebtoB 4.1 SP3 Fix#0 이상 버전부터 ServerTokens 설정 미존재 시 적용되는 Default 설정이 "minimal" 에서 "off" 로 변경
  2. WebtoB 설정 파일 컴파일 및 서비스 재시작

  2024-01-13 : (조치과정 삭제)