CVE-2022-39956

OWASP ModSecurity Core Rule Set (CRS), HTTP multipart sorğuları üçün qayda dəstinin qismən yan keçilməsi zəifliyindən təsirlənir. Bu, Content-Type və ya artıq istifadə edilməyən Content-Transfer-Encoding multipart MIME başlıq sahələri vasitəsilə simvol kodlaşdırma sxemindən istifadə edən faydalı yükün (payload) göndərilməsi ilə baş verir ki, bu da veb tətbiqi firewall mühərriki və qayda dəsti tərəfindən dekodlaşdırılmır və yoxlanılmır. Nəticədə, multipart faydalı yük aşkarlanmadan yan keçir. Bu kodlaşdırma sxemlərini dəstəkləyən zəiflikli backend potensial olaraq istismar edilə bilər. Köhnə CRS versiyaları 3.0.x və 3.1.x, həmçinin hazırda dəstəklənən 3.2.1 və 3.3.2 versiyaları bu problemdən təsirlənir. İnteqrasiya edənlərə və istifadəçilərə müvafiq olaraq 3.2.2 və 3.3.3 versiyalarına yeniləmək tövsiyə olunur. Bu zəifliklərin aradan qaldırılması ModSecurity-nin ən son versiyasının (v2.9.6 / v3.0.8) quraşdırılmasından asılıdır.