¿La divulgación de información en forma de encabezado de servidor es una vulnerabilidad real?

OWASP define Fuga de información como una vulnerabilidad, por lo que el debate es realmente sobre si la información de la versión específica debe clasificarse como "Fuga de información".

Como lo menciona @Oasiscircle, esta información se puede usar como punto de partida para los atacantes que conocen vulnerabilidades específicas asociadas con versiones específicas. Sabemos que los atacantes usan botnets para escanear servidores en busca de huellas digitales de versión, y usan esta información para mantener bases de datos de versiones de aplicaciones y direcciones de servidores. Shodan proporciona una base de datos ampliamente utilizada de esta información. Cuando se introduce un nuevo exploit que apunta a una versión específica, o si un atacante desarrolla un exploit de 0 días contra una versión, estos atacantes hacen una simple selección de sus bases de datos y atacan rápidamente, con la esperanza de capturar algunas de estas máquinas antes de que sean parcheadas.

¿Eso hace que conocer un número de versión específico sea una vulnerabilidad? No directamente, pero te pone en la mira de un campo de francotiradores, cada uno con un gatillo y la motivación para atacar primero. Lo dejaré para que lo determine por sí mismo si considera que es una vulnerabilidad.

En general, tengo dudas sobre los beneficios. Como dice @MarkBuffalo, muchos atacantes intentarán cada ataque que conozcan en cada servidor que encuentren, ya sea que funcione o no (incluso en la medida en que intente ataques específicos de Windows contra sistemas informando que están ejecutando RHEL).

Sin embargo, no es información que deba divulgar, por lo que generalmente estoy a favor de eliminarla, ya que esto se puede lograr con un mínimo esfuerzo. A veces, esto significa reducir la salida solo al nombre del servidor (por ejemplo, Apache, IIS) en lugar de eliminar completamente el encabezado del servidor, ya que eliminar el encabezado puede requerir la introducción de nuevos elementos de software en la pila del servidor.

Por ejemplo, se necesita una línea en apache.conf para reducir el encabezado de un servidor httpd a "Apache", pero la adición de un proxy para reducirlo aún más. En ese caso, parece más seguro atenerse a la línea mínima, en lugar de agregar un elemento adicional, que puede presentar sus propios defectos.

De manera similar, es fácil de ver cuando un sitio ejecuta Wordpress, pero aún así recomiendo eliminar el archivo Léame, simplemente no es necesario, y se parece un poco al tazón de la parte marrón de M & : puede comprobarlo fácilmente y muestra si es probable que se hayan tomado otros pasos.

Digamos que hoy se anunció una vulnerabilidad para todos los servidores Microsoft IIS 7.5 con una pequeña gama de versiones de ASP Net. Soy un atacante malicioso y quiero averiguar cuántos servidores puedo explotar como sea posible antes de que los administradores de sistemas actualicen la vulnerabilidad. ¿No sería un problema mucho más fácil averiguar si podría preguntar a cada servidor individual si son vulnerables en lugar de tener que probar la vulnerabilidad en cada servidor? Además, podría registrar toda esta información por servidor y saber exactamente a quién quiero atacar en el momento en que se encuentre una vulnerabilidad para cualquier tipo de servidor.

La ocultación de la información de su versión no impedirá que ocurra un ataque, pero lo hará menos objetivo si los atacantes buscan una versión específica de hardware o software. La seguridad por oscuridad no significa que estés a salvo, pero a veces ralentiza a las personas, y eso es exactamente lo que se necesita para las vulnerabilidades del día cero.

Bueno, digamos que se descubrió una nueva vulnerabilidad grave en ASP.NET 4.0.30319.

Los atacantes pueden encontrar fácilmente servidores vulnerables utilizando un motor de búsqueda como Shodan: enlace

Ocultar los banners de información lo protege de ataques no dirigidos cuando un atacante solo quiere que algunos servidores se comprometan a agregar a su botnet.