Hlavička Server prezrádza verziu softvéru

Čo to je

Webový server posiela v každej odpovedi hlavičku Server a v nej uvádza názov softvéru a často aj presnú verziu, napríklad Apache/2.4.25 (Debian). Čítame ju z odpovede na bežnú požiadavku, nič iné neoverujeme.

Je to odporúčanie, nie akútna diera. Dôležitá je verzia. Samotný názov servera útočníkovi prezradí len málo.

Prečo je to problém

Útočník podľa verzie hneď vie, ktoré známe zraniteľnosti skúsiť, a nemusí nič zisťovať.
Hlavička sama web nenapadne. Skrytie verzie ho tiež neopraví: zastaraný server zostane zastaraný.
Preto berte skrytie ako upratovanie navyše. Skutočná oprava je aktualizácia.

Ako to opraviť

1. Aktualizujte

Ak hlavička ukazuje verziu, ktorá už nedostáva bezpečnostné opravy, aktualizujte server. Toto je hlavný krok.

2. Skryte verziu

nginx:

# v bloku http (nginx.conf)
server_tokens off;

Apache:

ServerTokens Prod
ServerSignature Off

PHP (hlavička X-Powered-By):

expose_php = Off

IIS: v IIS 10 vypnite hlavičku nastavením removeServerHeader="true" v requestFiltering v web.config.

3. Overte

curl -sI https://example.cz/ | grep -i '^server'

Ak pred serverom stojí CDN alebo reverzná proxy, hlavičku môže posielať ona. Nastavenie hľadajte tam.