CVE-2022-39958
Təsvir
OWASP ModSecurity Core Rule Set (CRS) cavab gövdəsinin yan keçməsi təsirinə məruz qalır ki, bu da kiçik bayt aralığı ilə HTTP Range başlıq sahəsinin təkrar göndərilməsi yolu ilə məlumatların kiçik və aşkar edilə bilməyən hissələrinin ardıcıl olaraq çıxarılmasına imkan verir. Adi halda girişi aşkar ediləcək məhdudlaşdırılmış resurs, CRS istifadə edən veb tətbiq firewallu ilə qorunsa da, backend-dən çıxarıla bilər. Məhdudlaşdırılmış resursun qısa alt bölmələri nümunə uyğunlaşdırma üsullarından yan keçə və aşkar edilməmiş girişə imkan verə bilər. Köhnə CRS 3.0.x və 3.1.x versiyaları, həmçinin hazırda dəstəklənən 3.2.1 və 3.3.2 versiyaları təsirlənir. İnteqratorlara və istifadəçilərə müvafiq olaraq 3.2.2 və 3.3.3 versiyalarına yüksəltmələri və CRS paranoia səviyyəsini 3 və ya daha yüksək səviyyəyə konfiqurasiya etmələri tövsiyə olunur.
Necə düzəltmək olar
- owasp owasp_modsecurity_core_rule_set3.2.2, 3.3.3 və ya daha yeni versiya
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PD56EAYNGB6E6QQH62LAYCONOP6OH5DZ/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/YPQ6CCMX3MU4A7MTCGQJA7VMJW3IQDXV/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HL2L2GF7GOCWPMJZDUE5OXDSXHGG3XUJ/
- security.gentoo.org/glsa/202305-25
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| owasp owasp_modsecurity_core_rule_set | 3.0.0 ≤ v < 3.2.2, 3.3.0 ≤ v < 3.3.3 | 3.2.2, 3.3.3 |
| fedoraproject fedora | 35, 36, 37 | — |
| debian debian_linux | 10.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.