Oracle Solaris 第三方修補程式更新：modsecurity (cve_2012_2751_improper_input)

high Nessus Plugin ID 80704

語系：

概要

遠端 Solaris 系統缺少一個第三方軟體的安全性修補程式。

說明

遠端 Solaris 系統缺少處理安全性更新的必要修補程式：

- 搭配 PHP 使用時，2.6.6 版之前的 ModSecurity 未正確處理單引號 (單引號的位置不在含有 multipart/form-data Content-Type 標頭的要求內 Content-Disposition 欄位的要求參數值開頭)，進而允許遠端攻擊者繞過篩選規則並執行其他攻擊 (如跨網站指令碼 (XSS) 攻擊)。注意：此弱點是 CVE-2009-5031 的修正不完整所致。(CVE-2012-2751)

- 2.7.3 版之前的 ModSecurity 允許遠端攻擊者透過含有實體參照的 XML 外部實體宣告，讀取任意檔案、傳送 HTTP 要求至內部網路伺服器，或是造成拒絕服務 (CPU 和記憶體消耗)，即所謂的 XML 外部實體 (XXE) 弱點。(CVE-2013-1915)