CVE-2022-39956
Açıklama
OWASP ModSecurity Core Rule Set (CRS), Content-Type veya kullanımdan kaldırılmış olan Content-Transfer-Encoding multipart MIME üst bilgi alanları aracılığıyla bir karakter kodlama şeması kullanan yüklerin gönderilmesiyle, HTTP multipart istekleri için kısmi kural seti atlatma sorunundan etkilenmektedir; bu yükler web uygulama güvenlik duvarı motoru ve kural seti tarafından çözümlenmeyecek ve incelenmeyecektir. Bu nedenle, multipart yükü tespit mekanizmasını atlatacaktır. Bu kodlama şemalarını destekleyen savunmasız bir arka uç potansiyel olarak istismar edilebilir. Eski CRS sürümleri 3.0.x ve 3.1.x'in yanı sıra şu anda desteklenen 3.2.1 ve 3.3.2 sürümleri etkilenmektedir. Entegratörlere ve kullanıcılara sırasıyla 3.2.2 ve 3.3.3 sürümlerine yükseltme yapmaları önerilir. Bu zafiyetlere karşı hafifletme işlemi, ModSecurity'nin en son sürümünün (v2.9.6 / v3.0.8) kurulmasına bağlıdır.
Nasıl düzeltilir
- owasp owasp_modsecurity_core_rule_set3.2.2, 3.3.3 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PD56EAYNGB6E6QQH62LAYCONOP6OH5DZ/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/YPQ6CCMX3MU4A7MTCGQJA7VMJW3IQDXV/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HL2L2GF7GOCWPMJZDUE5OXDSXHGG3XUJ/
- security.gentoo.org/glsa/202305-25
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| owasp owasp_modsecurity_core_rule_set | 3.0.0 ≤ v < 3.2.2, 3.3.0 ≤ v < 3.3.3 | 3.2.2, 3.3.3 |
| fedoraproject fedora | 35, 36, 37 | — |
| debian debian_linux | 10.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.