NessusでVPSサーバー（CentOS6.2）の脆弱性診断を行った際、重要度は”Info”ですが、Webサーバー（Apache）のパージョンが分かってしまうという項目がありました。

Webリクエストに対する応答で、ヘッダーにApacheのバージョン情報が含まれていたのです。
　

Telnetで確認

　
TelnetでHTTPリクエストの送受信の様子を表示し、HTTPヘッダーの情報を確認することができます。
　

# telnet localhost 80
　
GET / HTTP/1.1
　
HTTP/1.1 400 Bad Request
Date: Wed, 13 Nov 2013 01:31:29 GMT
Server: Apache/2.2.15 (CentOS)

上記のようにヘッダーに”Server: Apache/2.2.15 (CentOS)”とApacheのバージョンが表示されています。
　
バージョンが分かると各バージョン固有の脆弱性が分かるので、リスクが高まってしまいます
　

Apacheの設定変更

　
修正方法もNessusのレポートに記載されています。以下のように修正します。
　
ServerTokens OS
　　↓
ServerTokens Prod[uctOnly]
　
上記設定変更後、Apacheを再起動します。
　
●修正後の確認
　
Telnetで確認します。

# telnet localhost 80
　
GET / HTTP/1.1
　
HTTP/1.1 400 Bad Request
Date: Wed, 13 Nov 2013 01:36:33 GMT
Server: Apache

Apacheのバージョンは表示されないようになりました。

関連記事の目次