CVE-2020-15598
Təsvir
Trustwave ModSecurity 3.x versiyasından 3.0.4-ə qədər olan versiyalarda xüsusi sorğu vasitəsilə xidmətdən imtina (DoS) mümkündür. QEYD: Kəşf edən şəxs bildirir ki, "Trustwave iddialarımızla razılaşmadığını bildirib". CVE göstərir ki, ModSecurity-nin müntəzəm ifadələri (regular expressions) emal etmə tərzində Xidmətdən İmtina vəziyyətinə səbəb ola biləcək təhlükəsizlik problemi mövcuddur. Vendor bunu aşağıdakı səbəblərə görə təhlükəsizlik problemi hesab etmir: 1) burada standart konfiqurasiya problemi yoxdur; hücumçu potensial problemli müntəzəm ifadədən istifadə edən qaydanın mövcud olduğunu bilməlidir, 2) hücumçu resurs problemlərini istismar etmək üçün müntəzəm ifadənin özünün əsas mahiyyətini bilməlidir. Məlumdur ki, istifadə halından asılı olmayaraq, müntəzəm ifadələrin istifadəsi sistem resurslarına ağır yük sala bilər. Resursların potensial təhlükəsizlik faydası ilə dəyişdirilməsinin uyğun olub-olmaması qərarı administratora məxsusdur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| owasp modsecurity | 3.0.0 ≤ v ≤ 3.0.4 | — |
| debian debian_linux | 10.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.