HTTP TRACE/TRACKメソッドColdFusionサーバーの脆弱性を利用しました

Question

ColdFusionサーバーでHTTP TRACE/TRACKメソッドが有効になっています。これを修正するための提案は大きな助けになるでしょう。

Answer 1

これらの方法を許可しないブランケットは、アプリケーションサーバー（Coldfusion、Lucee）よりもHTTPサーバー（IIS、Apache、NGINX）の関心事です。これらのHTTP動詞が正当に使用されている可能性があります。

しかし、これはonRequestStartメソッドApplication.cfcの中から数行のコードで処理できます。

var disallowVerbs = [ "TRACE", "TRACK" ]; 
if(arrayContains(disallowVerbs, cgi.request_method)){ 
    cfheader(statusCode=403, statusText="Method Not Allowed"); 
}