- Outil qui analyse la configuration NGINX pour détecter des vulnérabilités de sécurité
- Vise à prévenir les erreurs de configuration de sécurité et à automatiser la détection des vulnérabilités
- Fork actif du Gixy original créé par Yandex (aucun commit depuis 2 ans)
Problèmes que Gixy peut détecter
- SSRF(Server Side Request Forgery) : possibilité d’attaque par falsification de requêtes côté serveur
- HTTP Splitting : possibilité d’attaque par fractionnement de réponse HTTP
- Problèmes de validation Referrer/Origin : vulnérabilités dues à une validation incomplète
- Redéfinition de
add_header : problème de redéfinition des en-têtes de réponse
- Usurpation de l’en-tête Host : possibilité de falsification de l’en-tête Host de la requête
- Erreur de configuration
valid_referers : problème de sécurité dû à l’autorisation de la valeur none
- En-têtes de réponse multilignes : problème de sécurité lié à des en-têtes de réponse sur plusieurs lignes
- Traversal de chemin dû à une erreur de configuration
alias : possibilité d’évasion de répertoire à cause d’une mauvaise configuration alias
- Problèmes liés à l’utilisation de
if : comportement inattendu dû à l’usage de if dans un bloc location
- Erreur de configuration Allow : absence de configuration Deny lors de l’utilisation de Allow
- Problème de configuration du Content-Type : problèmes liés à la définition de Content-Type avec
add_header
- Problèmes liés à l’utilisation d’un DNS externe : configuration DNS vulnérable du point de vue sécurité
- Exposition des informations de version : divulgation de version via la configuration
server_tokens
- Problème de configuration
try_files : problème de sécurité lors de l’utilisation de try_files sans open_file_cache
- Problème de décodage du chemin
proxy_pass : décodage et normalisation automatiques du chemin d’URL
Utilisation
- Par défaut, Gixy tente d’analyser la configuration NGINX située dans
/etc/nginx/nginx.conf
- Il est également possible de spécifier un chemin particulier
- Par exemple, il peut détecter une vulnérabilité de fractionnement HTTP
- Gixy peut aussi être utilisé avec un pipe (entrée standard)
- Une image Docker est également disponible
- Il faut monter la configuration à analyser en volume et fournir le chemin du fichier de configuration lors de l’exécution de l’image Gixy
Aucun commentaire pour le moment.