Nagłówek Server ujawnia wersję oprogramowania

Co to jest

Serwer WWW wysyła w każdej odpowiedzi nagłówek Server i podaje w nim nazwę oprogramowania, często też dokładną wersję, na przykład Apache/2.4.25 (Debian). Czytamy go z odpowiedzi na zwykłe żądanie i niczego innego nie sprawdzamy.

To zalecenie, a nie ostra luka. Liczy się wersja. Sama nazwa serwera mówi atakującemu niewiele.

Dlaczego to problem

Po wersji atakujący od razu wie, które znane podatności wypróbować, bez żadnego badania.
Nagłówek sam nie atakuje strony. Ukrycie wersji też jej nie naprawia: przestarzały serwer pozostaje przestarzały.
Dlatego traktuj ukrycie jako dodatkowe porządki. Prawdziwa naprawa to aktualizacja.

Jak to naprawić

1. Zaktualizuj

Jeśli nagłówek pokazuje wersję, która nie dostaje już poprawek bezpieczeństwa, zaktualizuj serwer. To główny krok.

2. Ukryj wersję

nginx:

# w bloku http (nginx.conf)
server_tokens off;

Apache:

ServerTokens Prod
ServerSignature Off

PHP (nagłówek X-Powered-By):

expose_php = Off

IIS: w IIS 10 wyłącz nagłówek, ustawiając removeServerHeader="true" w requestFiltering w web.config.

3. Sprawdź

curl -sI https://example.cz/ | grep -i '^server'

Jeśli przed serwerem stoi CDN lub reverse proxy, to ono może wysyłać nagłówek. Szukaj ustawienia tam.