CVE-2022-39955
Açıklama
OWASP ModSecurity Core Rule Set (CRS), birden fazla karakter kodlama şeması belirten özel olarak hazırlanmış bir HTTP Content-Type başlık alanı gönderilerek gerçekleştirilen kısmi kural seti atlatma işleminden etkilenmektedir. Savunmasız bir arka uç, birden fazla Content-Type "charset" adı beyan edilerek ve böylece yapılandırılabilir CRS Content-Type başlığı "charset" izin listesi atlatılarak potansiyel olarak istismar edilebilir. Kodlanmış bir yük bu şekilde CRS tespitini atlatabilir ve ardından arka uç tarafından kod çözülebilir. Eski CRS sürümleri 3.0.x ve 3.1.x'in yanı sıra şu anda desteklenen 3.2.1 ve 3.3.2 sürümleri etkilenmektedir. Entegratörlerin ve kullanıcıların sırasıyla 3.2.2 ve 3.3.3 sürümlerine yükseltme yapmaları önerilir.
Nasıl düzeltilir
- owasp owasp_modsecurity_core_rule_set3.2.2, 3.3.3 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PD56EAYNGB6E6QQH62LAYCONOP6OH5DZ/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/YPQ6CCMX3MU4A7MTCGQJA7VMJW3IQDXV/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HL2L2GF7GOCWPMJZDUE5OXDSXHGG3XUJ/
- security.gentoo.org/glsa/202305-25
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| owasp owasp_modsecurity_core_rule_set | 3.0.0 ≤ v < 3.2.2, 3.3.0 ≤ v < 3.3.3 | 3.2.2, 3.3.3 |
| fedoraproject fedora | 35, 36, 37 | — |
| debian debian_linux | 10.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.