遠端 Web 伺服器上執行的 Drupal 版本為 8.1.7 之前的 8.x 版。因此，會受到一個稱為「httpoxy」的攔截式弱點影響，此弱點是因未正確依據 RFC 3875 第 4.1.18 節解決命名空間衝突所導致。HTTP_PROXY 環境變數是依據 HTTP 要求的「Proxy」標頭中不受信任的使用者資料所設定。某些 Web 用戶端程式庫會使用 HTTP_PROXY 環境變數來指定遠端代理伺服器。未經驗證的遠端攻擊者可惡意利用此問題，透過 HTTP 要求中的特製「Proxy」標頭，將應用程式的內部 HTTP 流量重新導向至其可觀察或操控的任意代理伺服器。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

偵測

Drupal 8.x < 8.1.7 PHP HTTP_PROXY 環境變數命名空間衝突弱點 (httpoxy)

high Nessus Plugin ID 92495

找不到變更記錄