- Herramienta que analiza la configuración de NGINX para encontrar vulnerabilidades de seguridad
- Busca prevenir errores de configuración de seguridad y detectar vulnerabilidades de forma automática
- Es un fork activo del Gixy original creado por Yandex (sin commits durante 2 años)
Problemas que Gixy puede detectar
- SSRF (Server Side Request Forgery): posibilidad de ataques de falsificación de solicitudes del lado del servidor
- HTTP Splitting: posibilidad de ataques de división de respuestas HTTP
- Problemas de validación de Referrer/Origin: vulnerabilidades de seguridad causadas por validación incompleta
- Redefinición de
add_header: problemas de redefinición de encabezados de respuesta
- Suplantación del encabezado Host: posibilidad de falsificar el encabezado Host de la solicitud
- Error de configuración de
valid_referers: problema de seguridad por permitir el valor none
- Encabezados de respuesta multilínea: problemas de seguridad causados por encabezados de respuesta en varias líneas
- Path traversal por configuración incorrecta de
alias: posibilidad de salir del directorio por una mala configuración de alias
- Problemas por usar sentencias
if: comportamiento inesperado por usar if dentro de bloques location
- Error de configuración de Allow: falta de configuración de Deny al establecer Allow
- Problemas de configuración de Content-Type: inconvenientes al establecer Content-Type con
add_header
- Problemas por uso de DNS externo: configuración de DNS vulnerable desde el punto de vista de seguridad
- Exposición de información de versión: exposición de la versión mediante la configuración de
server_tokens
- Problemas de configuración de
try_files: riesgos de seguridad al usar try_files sin open_file_cache
- Problema de decodificación de ruta en
proxy_pass: la ruta URL se decodifica y normaliza automáticamente
Uso
- De forma predeterminada, Gixy intenta analizar la configuración de NGINX ubicada en
/etc/nginx/nginx.conf
- También se puede especificar una ruta concreta
- Por ejemplo, puede encontrar vulnerabilidades de HTTP splitting
- Gixy también puede usar tuberías (entrada estándar)
- También está disponible como imagen de Docker
- Debes montar como volumen la configuración que quieres analizar y proporcionar la ruta del archivo de configuración al ejecutar la imagen de Gixy
Aún no hay comentarios.