Открытая страница статуса

Gixy Check ID: status_page_exposed

Модуль stub_status отдаёт метрики сервера NGINX: число активных соединений, обработанных запросов и состояния соединений. Без ограничений по IP эта информация доступна всем и может помочь атакующему в разведке.

Плохой пример

location /status {
    stub_status;
}

Или с allow, но без deny all:

location /status {
    stub_status;
    allow 10.0.0.0/8;
}

Ловите такие ошибки до продакшена

GetPageSpeed Amplify запускает Gixy по расписанию на каждом сервере NGINX и оповещает о новых находках и CVE, показывая их рядом с метриками. Настроить непрерывный мониторинг.

Хороший пример

location = /nginx-status {
    stub_status on;
    allow 127.0.0.1;
    allow ::1;
    deny all;
}

Всегда сочетайте stub_status с явными директивами allow для доверенных IP-адресов и deny all, чтобы закрыть доступ всем остальным.