远程 Web 服务器上运行的 Drupal 版本为 8.1.7 之前的 8.x 版。因此，它受到一个称为“httpoxy”的中间人漏洞影响，此漏洞是因无法正确依据 RFC 3875 第 4.1.18 节解决命名空间冲突所导致。HTTP_PROXY 环境变量是基于 HTTP 请求的“Proxy”标头中不受信任的用户数据所设置。某些 Web 客户端库会使用 HTTP_PROXY 环境变量来指定远程代理服务器。未经认证的远程攻击者可利用此问题，通过 HTTP 请求中构建的“Proxy”标头，将应用程序的内部 HTTP 流量重定向到其可观察或操控的任意代理服务器。

请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。

检测

Drupal 8.x < 8.1.7 PHP HTTP_PROXY 环境变量命名空间冲突漏洞 (httpoxy)

high Nessus 插件 ID 92495

未找到变更日志