Apache：HTTPのTRACEメソッドを無効にする（※Cross Site Tracing対策）

Apache では、通常の設定で Trace メソッドが有効に設定されています。

Web アプリケーション（プログラム自体）にクロスサイトスクリプティングの脆弱性がある場合、Apache で Trace メソッドが有効になっていると、Cross Site Tracingという脆弱性が発生する場合があります。

Cross Site Tracingの脆弱性は、Basic 認証の ID やパスワード、Cookie の情報などが漏洩する可能性があります。

ですので、通常の設定では、Trace メソッドは無効にすることをお勧めします。

# vi /etc/httpd/conf/httpd.conf
TraceEnable Off ←末尾に追加

設定反映のため、リロードします。
# service httpd reload
Reloading httpd:                                           [  OK  ]

Trace メソッドの動作確認方法としては、HTTPヘッダを確認する方法があります。

リクエストヘッダーが、以下のであったとします。

TRACE http://test.domain/ HTTP/1.0
Host: test.domain
Content-length: 0

これに対しレスポンスヘッダに405 Method Not Allowedが記載されています。
これでTrace メソッドが無効に設定されていることがわかります。

HTTP/1.1 405 Method Not Allowed　←ここを確認します。
Date: xxx, xx xxx xxx xx:xx:xx GMT
Server: Apache
X-Frame-Options: DENY
Allow:
Content-Length: 223
Connection: close
Content-Type: text/html; charset=iso-8859-1

[対象］
CentOS 5.x
CentOS 6.x
Apache 2.2.xx