Debian DLA-3283-1：modsecurity-apache - LTS 安全性更新

critical Nessus Plugin ID 170697

語系：

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

描述

遠端 Debian 10 主機上安裝的一個套件受到 dla-3283 公告中提及的多個弱點影響。

- OWASP ModSecurity 核心規則集 (CRS) 受到 HTTP multipart 要求的部分規則集繞過弱點影響，方法是透過 Content-Type 或過時的 Content-Transfer-Encoding multipart MIME 標頭欄位提交使用字元編碼配置的承載，Web 應用程式防火牆引擎和規則集不會解碼和檢查這些欄位。因此，multipart 承載會繞過偵測。支援這些編碼配置的有弱點的後端可能遭到攻擊。舊版 CRS 3.0.x 和 3.1.x 以及目前支援的 3.2.1 和 3.3.2 版本受到影響。建議整合者和使用者分別升級至 3.2.2 和 3.3.3。針對這些弱點的緩解措施取決於是否安裝最新版 ModSecurity (v2.9.6 / v3.0.8)。
(CVE-2022-39956)

- 在 ModSecurity 2.9.6 之前版本和 3.0.8 之前的 3.x 版中，HTTP multipart 要求的剖析不正確，且可繞過 Web 應用程式防火牆。注意：這與 CVE-2022-39956 相關，但可被視為對 ModSecurity (C 語言) 程式碼基底的獨立變更。(CVE-2022-48279)

- 2.9.7 版之前的 ModSecurity 中存在檔案上傳中的「\0 」位元組處理錯誤問題，在執行讀取 FILES_TMP_CONTENT 集合的規則時，此問題可造成 Web 應用程式防火牆繞過以及 Web 應用程式發生緩衝區溢位。(CVE-2023-24021)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。