0

接続用のプロキシのSonarQube背後で実行されている環境に実装しています。 アプリケーション (HP Fortify) でセキュリティ スキャンを実行した後、いくつかの Cookie セキュリティの問題が返されました。具体的には次のとおりです。IISHTTPS

Cookie Security: Cookie Not Sent Over SSL (4720)
CWE: 614

GET /sonarqube/ HTTP/1.1
Host: sonar
User-Agent: Mozilla/5.0 (Windows NT 6.2; WOW64; rv:30.0) Gecko/20100101 Firefox/30.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Connection: keep-alive
X-WIPP: AscVersion=16.20.608.0
X-Scan-Memo: Category="Crawl.EventMacro.Startup";
SID="F0A2B8712E7F609FAA4899C"; SessionType="StartMacro"; CrawlType="None";
X-RequestManager-Memo: sid="13442"; smi="0"; Category="EventMacro.Login";
MacroName="sonarqube-priv-loginmacro";
X-Request-Memo: ID="0e42a-fcf-4b6-a8f-0fbceb4c"; ThreadId="169";
Pragma: no-cache
Cookie: CustomCookie=WebInspect0
Response:
Report Date: 09/3/2017 38
HTTP/1.1 302 Found
Cache-Control: no-cache
Content-Type: text/html;charset=utf-8
Location: https://sonar/sonarqube/sessions/new
Server: Microsoft-IIS/10.0
Set-Cookie: JSESSIONID=XXX; Path=/sonarqube/; HttpOnly
X-Frame-Options: SAMEORIGIN
X-XSS-Protection: 1...TRUNCATED...

これは構成によるものだと思いますか、それともここのアプリケーションIIS内の標準的な構成に過ぎないと思いますか? ここでの結果をどのように解釈するか、またはそれを掘り下げる方法がわかりません。 任意の提案をいただければ幸いです。SonarQube

4

2 に答える 2

0

IIS などのリバース プロキシでは、次のヘッダーを SonarQube に送信するようにリバース プロキシを構成する必要がありますX-Forwarded-Proto: https。

ここで見ることができます：「proxy_set_header X-Forwarded-Proto https;」に相当するIIS

このヘッダーが設定されていると、セッションには欠落しているセキュア フラグが含まれます。

于 2017-10-09T05:37:47.663 に答える