ช่องโหว่ HTTPOXY อาศัยการอิมพลีเมนต์เซิร์ฟเวอร์ CGI หลายตัวที่รับค่า Proxy จาก HTTP header เมื่อเซิร์ฟเวอร์เหล่านี้กำลัง ดาวน์โหลด ข้อมูลผ่าน HTTP เมื่อได้รับค่า Proxy มาแล้วกลับตั้งค่าเป็น environment variable ในชื่อ HTTP_PROXY ทำให้การดาวน์โหลดครั้งอื่นๆ จะถูกส่งไปยังเซิร์ฟเวอร์ที่แฮกเกอร์ต้องการได้ทันที

โครงการ Drupal จัดช่องโหว่นี้เป็นช่องโหว่ "วิกฤติระดับสูง" (highly critical) เพราะสามารถโจมตีได้โดยง่าย และหลังจากโจมตีแล้วเซิร์ฟเวอร์ของแฮกเกอร์สามารถดักการดาวน์โหลดจากเซิร์ฟเวอร์ที่ตกเป็นเหยื่อได้ทั้งหมด

ตอนนี้ไลบรารีหลักๆ ที่ได้รับผลกระทบจากช่องโหว่ HTTPOXY ได้แก่ PHP Guzzle, PHP Artax, Python request, และ net/http ใน Go โดยยังไม่ยืนยันว่ามีภาษาอื่นๆ กระทบอีกบ้างหรือไม่

ทางแก้ของช่องโหว่นี้สามารถแก้ไขที่ระดับเว็บเซิร์ฟเวอร์ได้ด้วยการบล็อค HTTP_PROXY ไม่ให้เว็บเซิร์ฟเวอร์ส่งต่อไปยัง CGI ในที่มามีทางแก้ไว้ทั้ง Nginx, Apache, และ Microsoft IIS แล้ว ควรเร่งแก้โดยเร็วก่อนที่จะมีใครเอาไฟล์อะไรแปลกๆ มายัดใส่เซิร์ฟเวอร์

ที่มา - HTTPOXY