CVE-2026-61813
Təsvir
ModSecurity Apache, IIS və Nginx üçün açıq mənbəli, çarpayılardan asılı olmayan veb tətbiqi təhlükəsizlik divarı (WAF) mühərrikidir. 2.9.15 və 3.0.17 versiyalarından əvvəl, src/utils/https_client.cc faylındakı HttpsClient::download funksiyası libcurl CURLOPT_SSL_VERIFYHOST parametrini ciddi dəyər olan 2L əvəzinə 1 olaraq təyin edir. "Adversary-in-the-middle" və TLS tutma şəraitində bu qeyri-ciddi tənzimləmə TLS qarşı tərəf kimliyinin yoxlanılmasını zəiflədə bilər və nəzərdə tutulmayan host üçün sertifikatın qəbul edilməsi riskini artıra bilər. Tipik mühitlərdə uçdan-uca istismar mürəkkəbdir. Bu problem 2.9.15 və 3.0.17 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| owasp-modsecurity ModSecurity | < 2.9.15, >= 3.0.0, < 3.0.17 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.