[PaaS uniquement]{class="badge informative" title="S’applique uniquement aux projets Adobe Commerce on Cloud (infrastructure PaaS gérée par Adobe) et aux projets On-premise."}

Prévenir l’empoisonnement du cache

Cette rubrique explique comment éviter l'empoisonnement du cache si vous utilisez le serveur Web Microsoft Internet Information Server (IIS). L’empoisonnement du cache est une méthode permettant de modifier le contenu du cache afin d’inclure différentes pages du même site. Par exemple, il est possible d’injecter une page d’erreur HTTP 404 (Introuvable) à la place d’une page bénigne (par exemple, la page d’accueil du storefront), ce qui peut entraîner un déni de service potentiel. Les URL des pages malveillantes sont mises en cache par Varnish ou Redis, d’où le nom empoisonnement du cache de page.

Ces types d’attaques peuvent être difficiles à détecter, car ils n’entraînent pas d’erreurs dans les journaux du serveur web.

Cette solution s’applique aux versions de Commerce suivantes :

Description

Le problème se produit si les réécritures d’URL sont activées sur le serveur IIS et que l’un des en-têtes HTTP suivants est modifié avant que la requête n’atteigne le service de mise en cache de Vernis ou de Redis :

Si ces en-têtes sont modifiés, l’URL et le contenu qui en résultent sont mis en cache, ce qui entraîne des vulnérabilités potentielles.

Solution

Nous proposons la possibilité de supprimer les valeurs de tous les en-têtes précédents en fonction du paramètre du serveur IIS pour Enable_IIS_Rewrites.