無効なHOSTリクエストHTTPヘッダーを持つLiferayへのリクエストは、デフォルトサイトを返します。

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• 設定された Site URL と一致しない無効な HOST リクエスト HTTP ヘッダーを持つ Liferay へのリクエストは、エラー応答を返す代わりにデフォルトサイトを返します。

  複製

  再現手順（ケース1）

  1. hostsファイルに`127.0.0.1 www.example.com`を設定するが、仮想インスタンスは作成しない。
  2. www.example.com:8080 にアクセスすると、デフォルトのサイトが返され、URL www.example.com:8080を使用する。

  再現手順（ケース2）

  1. curlを使用する "https://mysite.com/" -H "ホスト：i_do_not_exist"`とする。
  2. デフォルトのサイトがターミナルに返される。

環境

• DXP 7.2+
  
  

解像度

• バーチャルホスト名としてバインドされているホスト名を渡すと、Liferayはバインドされているサイトをレンダリングしますが、一致しない場合はデフォルトのサイトを応答します。
• 無効なホスト名に対する404ページは、ウェブ・サーバー・ティアか何かによって提供されるべきである。
  
  

追加情報

• LXC-SM (Liferay Cloud Self-Managed) - Possible Host Header Attack Vulnerability を参照してください。