Server-Software-Version sichtbar

Mittel
Server-Software-Version sichtbar

Der HTTP-Header „Server“ Ihres Servers verrät Name und Version der Software (z. B. Apache/2.4.41, nginx/1.18.0).

Risiko

Kennen Angreifer die genaue Serversoftware und Version, können sie gezielt nach bekannten Sicherheitslücken (CVEs) dieser Version suchen und passende Exploits entwickeln. So verrät etwa ein offengelegtes „Apache/2.4.49“ sofort die kritische Path-Traversal-Lücke CVE-2021-41773. Diese Information macht automatisierte Scans deutlich wirksamer.

Lösung

Konfigurieren Sie Ihren Server so, dass der Server-Header entfernt oder reduziert wird. Die meisten Server erlauben es, die Versionsnummer auszublenden und nur den Softwarenamen zu behalten, oder den Header ganz zu entfernen.

Beispiel
# Nginx server_tokens off; # Apache ServerTokens Prod ServerSignature Off
OWASP - HTTP Headers
Kommentare (0)

Noch keine Kommentare. Beginnen Sie die Diskussion!