CVE-2022-39955
Təsvir
OWASP ModSecurity Core Rule Set (CRS), çox sayda simvol kodlaşdırma sxemini göstərən xüsusi hazırlanmış HTTP Content-Type başlıq sahəsinin göndərilməsi vasitəsilə qaydalar dəstinin qismən yan keçilməsi probleminə məruz qalıb. Zəifliyi olan arxa uç (back-end), çoxlu Content-Type "charset" adlarının bəyan edilməsi və bununla da konfiqurasiya olunan CRS Content-Type başlıq "charset" icazə siyahısının yan keçilməsi yolu ilə istismar edilə bilər. Kodlaşdırılmış faydalı yük (payload) bu yolla CRS aşkarlamasından yan keçə və daha sonra arxa uç tərəfindən dekodlaşdırıla bilər. Köhnə CRS versiyaları 3.0.x və 3.1.x, həmçinin hazırda dəstəklənən 3.2.1 və 3.3.2 versiyaları bu problemdən təsirlənib. İnteqrasiya edənlərə və istifadəçilərə müvafiq olaraq 3.2.2 və 3.3.3 versiyalarına yeniləmək tövsiyə olunur.
Necə düzəltmək olar
- owasp owasp_modsecurity_core_rule_set3.2.2, 3.3.3 və ya daha yeni versiya
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PD56EAYNGB6E6QQH62LAYCONOP6OH5DZ/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/YPQ6CCMX3MU4A7MTCGQJA7VMJW3IQDXV/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HL2L2GF7GOCWPMJZDUE5OXDSXHGG3XUJ/
- security.gentoo.org/glsa/202305-25
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| owasp owasp_modsecurity_core_rule_set | 3.0.0 ≤ v < 3.2.2, 3.3.0 ≤ v < 3.3.3 | 3.2.2, 3.3.3 |
| fedoraproject fedora | 35, 36, 37 | — |
| debian debian_linux | 10.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.