Quale aggressore trarrà vantaggio dallo sfruttamento di TRACE e Qual è la raccomandazione per risolvere questo problema?
Qualsiasi cosa inviata in una richiesta utilizzando il metodo HTTP TRACE verrà reimpostata nella risposta.
Questo può portare a Cross Site Tracing (XST) attacchi, che potrebbero portare a rubare il cookie di un utente se il cookie ha il flag di attributo HTTPOnly impostato.
Il metodo HTTP TRACE viene utilizzato solo a scopo di debug e dovrebbe essere disabilitato.
Configurazione Apache:
TraceEnable off
Impostazioni del Registro di sistema IIS:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters
EnableTraceMethod: 0
Leggi altre domande sui tag http web-application appsec exploit