Caucho-Status auf Produktiv-Systemen deaktivieren
Zu viele Informationen Preis geben ist kein guter Rat, wenn es um Webserver-Konfigurationen geht. Und so offenbart Caucho’s Resin Application Server in Kombination mit Railo und Apache entschieden zu viele Information – die sich aber unterdrücken lassen.
Der Resin-Server bietet generell die Möglichkeit, eine Status-Übersicht über eingetragene Web-Hosts abzurufen. Ist diese Option aktiviert, gelangt man über eine Url an die durchaus sensitiven Daten: www.meineurl.com/caucho-status
Angezeigt erhält man zum Beispiel folgende Auflistung:
Die Ausgabe der Status-Informationen lässt sich natürlich unterdrücken. Und zwar über den Konfigurationsparameter CauchoStatus. Je nachdem wie das Caucho-Modul in Apache oder IIS eingebunden wird, kann die Ausgabe der Informationen mit den Werten yes oder no gesteuert werden.
Beispiel 1: Apache httpd.conf global
2ResinConfigServer localhost 6800
3CauchoConfigCacheDirectory /tmp
4CauchoStatus yes|no
Beispiel 2: Apache httpd.conf VirtualHost-Definition
2 ServerName dev-backslash
3 ServerAdmin m.sameli@backslash.ch
4 DocumentRoot "/wwwroot/dev-backslash"
5 <Directory "/wwwroot/dev-backslash">
6 ResinConfigServer localhost 6800
7 CauchoConfigCacheDirectory /tmp
8 CauchoStatus yes|no
9 </Directory>
10</VirtualHost>
Die Herstellerin des Resin Application Server, die Caucho Technology, Inc., empfiehlt in der Dokumentation klar, dass der CauchoStatus auf Live-Systemen deaktiviert werden sollte.