Nonexistent Page (404) Physical Path Disclosure

Descripción: Cuando hay una solicitud a una página inexistente el servidor web revela la ruta física del webroot, ayudando a identificar las aplicaciones.

CVE: CVE-2016-0128
Factor de Riesgo: Medio
Valor CVSS Base: 5

Solución: Actualizar el servidor web a la versión más reciente estable o desactivar el reporte debug en el web server de la siguiente manera:

Modificar el archivo web.config o el archivo machine.config el cual se encuentra en el directorio de la aplicación, allí buscar el elemento compilación y modificar el atributo de depuración a false:

<compilation
debug=”false”
/>

Guardar los cambios web.config. y la aplicación ASP.NET se reiniciará automáticamente.

Modificar el archivo machine.config, abrir el archivo machine.config en un editor de texto como notepad.

El archivo machine.config normalmente se encuentra en la siguiente ruta: % SystemRoot% \ Microsoft.NET \ Framework \% VersionNumber% \ CONFIG \

En el archivo machine.config, buscar el elemento de compilación y modificar el atributo de depuración a false:

<compilation
debug=”false”
/>

Guardar cambios.

Referencia:
https://support.microsoft.com/en-us/help/815157/how-to-disable-debugging-for-asp.net-applications