Project

General

Profile

Anomalie #16809

Possibilité de lister le contenu des répertoires web publics

Added by Cyril VAZQUEZ over 1 year ago. Updated over 1 year ago.

Status:
Développé / Analysé (S)
Priority:
1-Majeur
Assignee:
Target version:
Start date:
04/06/2021
Due date:
Tags RM:
2.8.0

Description

Malgré la directive Options -Indexes de l'hôte virtuel, il reste possible de lister le contenu des répertoires contenant des ressources statiques publiques,
typiquement dans le répertoire /web/public, par exemple https://maarchrm/public

Par extension, ceci permet de connaître la structure du répertoire et des plugins utilisés pour l'IHM ce qui constitue une vulnérabilité de type "Information Disclodure".

Analyse
La directive Options -Indexes fonctionne bien, mais la réécriture des URL outrepasse à cause du test d'existence des fichiers publiques:

RewriteCond %{DOCUMENT_ROOT}%{REQUEST_FILENAME} -f [OR]
RewriteCond %{REQUEST_URI} ^/public [NC]

Il semble que le second test soit problématique car il annule le premier ET la directive -Indexes en permettant localement
de servir les répertoires.

Il est par ailleurs inutile puisqu'on ne sert que des fichiers qui répondent déjà au premier test.

History

#1 Updated by Alexandre GOLDSTEIN over 1 year ago

  • Status changed from A traiter to A tester (S)

retrait de la ligne RewriteCond %{REQUEST_URI} /public [NC] sur Socle et AP sur la branche fix/16809_public_directory

#2 Updated by Arnaud PAUGET over 1 year ago

  • Target version changed from 2.8 to 2.8.0

#3 Updated by Jérôme BOUCHER over 1 year ago

  • Status changed from A tester (S) to A livrer

Testé ok socle et ap

#4 Updated by Emmanuel DILLARD over 1 year ago

  • Project changed from Maarch RM - Product Backlog to Backlog RM
  • Target version changed from 2.8.0 to 2.8
  • Tags RM 2.8.0 added

#5 Updated by Emmanuel DILLARD over 1 year ago

  • Assignee set to Arnaud PAUGET

#6 Updated by Emmanuel DILLARD over 1 year ago

  • Status changed from A livrer to Développé / Analysé (S)

Also available in: Atom PDF