The remote Debian 10 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-3293 advisory.

  - A SQL injection bypass (aka PL1 bypass) exists in OWASP ModSecurity Core Rule Set (owasp-modsecurity-crs)     through v3.1.0-rc3 via {`a`b} where a is a special function name (such as if) and b is the SQL statement     to be executed. (CVE-2018-16384)

  - Modsecurity owasp-modsecurity-crs 3.2.0 (Paranoia level at PL1) has a SQL injection bypass vulnerability.
    Attackers can use the comment characters and variable assignments in the SQL syntax to bypass Modsecurity     WAF protection and implement SQL injection attacks on Web applications. (CVE-2020-22669)

  - OWASP ModSecurity Core Rule Set 3.1.x before 3.1.2, 3.2.x before 3.2.1, and 3.3.x before 3.3.2 is affected     by a Request Body Bypass via a trailing pathname. (CVE-2021-35368)

  - The OWASP ModSecurity Core Rule Set (CRS) is affected by a partial rule set bypass by submitting a     specially crafted HTTP Content-Type header field that indicates multiple character encoding schemes. A     vulnerable back-end can potentially be exploited by declaring multiple Content-Type charset names and     therefore bypassing the configurable CRS Content-Type header charset allow list. An encoded payload can     bypass CRS detection this way and may then be decoded by the backend. The legacy CRS versions 3.0.x and     3.1.x are affected, as well as the currently supported versions 3.2.1 and 3.3.2. Integrators and users are     advised to upgrade to 3.2.2 and 3.3.3 respectively. (CVE-2022-39955)

  - The OWASP ModSecurity Core Rule Set (CRS) is affected by a partial rule set bypass for HTTP multipart     requests by submitting a payload that uses a character encoding scheme via the Content-Type or the     deprecated Content-Transfer-Encoding multipart MIME header fields that will not be decoded and inspected     by the web application firewall engine and the rule set. The multipart payload will therefore bypass     detection. A vulnerable backend that supports these encoding schemes can potentially be exploited. The     legacy CRS versions 3.0.x and 3.1.x are affected, as well as the currently supported versions 3.2.1 and     3.3.2. Integrators and users are advised upgrade to 3.2.2 and 3.3.3 respectively. The mitigation against     these vulnerabilities depends on the installation of the latest ModSecurity version (v2.9.6 / v3.0.8).
    (CVE-2022-39956)

  - The OWASP ModSecurity Core Rule Set (CRS) is affected by a response body bypass. A client can issue an     HTTP Accept header field containing an optional charset parameter in order to receive the response in an     encoded form. Depending on the charset, this response can not be decoded by the web application     firewall. A restricted resource, access to which would ordinarily be detected, may therefore bypass     detection. The legacy CRS versions 3.0.x and 3.1.x are affected, as well as the currently supported     versions 3.2.1 and 3.3.2. Integrators and users are advised to upgrade to 3.2.2 and 3.3.3 respectively.
    (CVE-2022-39957)

  - The OWASP ModSecurity Core Rule Set (CRS) is affected by a response body bypass to sequentially exfiltrate     small and undetectable sections of data by repeatedly submitting an HTTP Range header field with a small     byte range. A restricted resource, access to which would ordinarily be detected, may be exfiltrated from     the backend, despite being protected by a web application firewall that uses CRS. Short subsections of a     restricted resource may bypass pattern matching techniques and allow undetected access. The legacy CRS     versions 3.0.x and 3.1.x are affected, as well as the currently supported versions 3.2.1 and 3.3.2.
    Integrators and users are advised to upgrade to 3.2.2 and 3.3.3 respectively and to configure a CRS     paranoia level of 3 or higher. (CVE-2022-39958)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Debian 10 ホストには、dla-3293 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - SQL インジェクションバイパス (別名 PL1 バイパス) が、{`a`b} を介して v3.1.0-rc3 までの OWASP ModSecurity Core Rule Set (owasp-modsecurity-crs) に存在します。ここで、a は特別な関数名 (if など) で、b  は実行される SQL ステートメントを表します。(CVE-2018-16384)

  - Modsecurity owasp-modsecurity-crs 3.2.0 (PL1 の Paranoia レベル) に、SQL インジェクションバイパスの脆弱性があります。 
    攻撃者は、SQL 構文のコメント文字と変数の割り当てを使用して Modsecurity WAF 保護をバイパスし、Web アプリケーションに SQL インジェクション攻撃を行います。（CVE-2020-22669）

  - OWASP ModSecurity コアルールセット 3.1.x より前の 3.1.2、3.2.x より前の 3.2.1、および 3.3.x より前の 3.3.2 は、末尾のパス名を介してリクエスト本文バイパスの影響を受けます。(CVE-2021-35368)

  - OWASP ModSecurity Core Rule Set (CRS) は、複数の文字エンコーディングスキームを示す特別に細工された HTTP Content-Type ヘッダーフィールドを送信することによる、部分的なルールセットバイパスの影響を受けます。複数の Content-Type charset 名を宣言し、構成可能な CRS Content-Type ヘッダー charset 許可リストをバイパスすることで、脆弱なバックエンドが悪用される可能性があります。エンコードされたペイロードは、この方法で CRS 検出をバイパスし、バックエンドによってデコードされる可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。(CVE-2022-39955)

  - OWASP ModSecurity コアルールセット (CRS) は、Content-Type を介して文字エンコーディングスキームを使用するペイロード、または Web アプリケーションファイヤーウォールエンジンとルールセットによってデコードおよび検査されない非推奨の Content-Transfer-Encoding マルチパート MIME ヘッダーフィールドを送信することにより、HTTP マルチパートリクエストの部分ルールセットバイパスの影響を受けます。したがって、マルチパートペイロードは検出をバイパスします。これらのエンコーディングスキームをサポートする脆弱なバックエンドが悪用される可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。これらの脆弱性に対する緩和策は、最新の ModSecurity バージョン（v2.9.6 / v3.0.8）のインストールに依存します。
    (CVE-2022-39956)

  - OWASP ModSecurity Core Rule Set (CRS) は、応答本文のバイパスの影響を受けます。クライアントは、エンコードされた形式で応答を受信するために、オプションの charset パラメーターを含む HTTP Accept ヘッダーフィールドを発行できます。charset によっては、この応答を Web アプリケーションのファイヤーウォールでデコードできない場合があります。したがって、通常は検出されるアクセスが制限されているリソースは、検出をバイパスする可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。
    (CVE-2022-39957)

  - OWASP ModSecurity Core Rule Set (CRS) は、小さなバイト範囲の HTTP Range ヘッダーフィールドを繰り返し送信することで、検出できない小さなデータセクションを順次漏洩させる応答本文のバイパスの影響を受けます。アクセスが通常は検出される制限されたリソースが、CRS を使用する Web アプリケーションファイヤーウォールによって保護されているにもかかわらず、バックエンドから漏洩する可能性があります。制限されたリソースの短いサブセクションは、パターンマッチング技術をバイパスし、検出されないアクセスを許可する可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。
    インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードし、CRS パラノイアレベルを 3 以上に構成することが推奨されます。(CVE-2022-39958)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

远程 Debian 10 主机上安装的程序包受到 dla-3293 公告中提及的多个漏洞影响。

  - OWASP ModSecurity 核心规则集 (owasp-modsecurity-crs) v3.1.0-rc3 及之前所有版本存在可透过 {`a`b} 触发的 SQL 注入绕过（即 PL1 绕过）漏洞影响，其中 a 表示特殊的函数名称（例如 if），b 表示要执行的 SQL 语句。(CVE-2018-16384)

  - Modsecurity owasp-modsecurity-crs 3.2.0 （PL1 的 Paranoia 级别）存在 SQL 注入绕过漏洞。
    攻击者可利用 SQL 语法中的注释字符和变量分配绕过 Modsecurity WAF 保护，并对 Web 应用程序实施 SQL 注入攻击。(CVE-2020-22669)

  - OWASP ModSecurity 核心规则集 3.1.x 版的 3.1.2 之前版本、3.2.x 版的 3.2.1 之前版本、3.3.x 版的 3.3.2 之前版本受到通过尾部路径名触发的请求正文绕过漏洞影响。(CVE-2021-35368)

  - OWASP ModSecurity 核心规则集 (CRS) 受到部分规则集绕过漏洞的影响，通过提交指示多种字符编码方案的特制 HTTP Content-Type 标头字段可触发此漏洞。攻击可通过声明多个 Content-Type 字符集名称来利用易受攻击的后端，从而绕过可配置的 CRS Content-Type 标头字符集允许列表。编码的负载可以通过这种方式绕过 CRS 检测，然后可能被后端解码。旧版 CRS 3.0.x 和 3.1.x 以及当前支持的版本 3.2.1 和 3.3.2 受到影响。建议集成商和用户分别升级到 3.2.2 和 3.3.3。(CVE-2022-39955)

  - OWASP ModSecurity 核心规则集 (CRS) 受到 HTTP 多部分请求的部分规则集绕过的影响，方法是通过 Content-Type 或已弃用的 Content-Transfer-Encoding 多部分 MIME 标头字段（不会被 Web 应用程序防火墙引擎和规则集解码和检查）提交使用字符编码方案的负载。因此，多部分负载将绕过检测。支持这些编码方案的易受攻击的后端可能被利用。旧版 CRS 3.0.x 和 3.1.x 以及当前支持的版本 3.2.1 和 3.3.2 受到影响。建议集成商和用户分别升级到 3.2.2 和 3.3.3。针对这些漏洞的缓解措施取决于安装的最新 ModSecurity 版本 (v2.9.6 / v3.0.8)。
    (CVE-2022-39956)

  - OWASP ModSecurity 核心规则集 (CRS) 受到响应正文绕过漏洞的影响。客户端可发出包含可选字符集参数的 HTTP Accept 标头字段，以便接收编码形式的响应。根据字符集不同，此响应无法被 Web 应用程序防火墙解码。因此，受限资源可绕过检测（通常会检测到对受限资源的访问）。旧版 CRS 3.0.x 和 3.1.x 以及当前支持的版本 3.2.1 和 3.3.2 受到影响。建议集成商和用户分别升级到 3.2.2 和 3.3.3。
    (CVE-2022-39957)

  - OWASP ModSecurity 核心规则集 (CRS) 受到响应正文绕过漏洞的影响，通过重复提交字节范围较小的 HTTP Range 标头字段，可依次泄露无法检测的较小数据部分。尽管受到使用 CRS 的 Web 应用程序防火墙的保护，但通常会被检测到的受限制资源可能会从后端泄露。受限资源的短小节可能会绕过模式匹配技术并允许未检测到的访问。旧版 CRS 3.0.x 和 3.1.x 以及当前支持的版本 3.2.1 和 3.3.2 受到影响。
    建议集成商和用户分别升级到 3.2.2 和 3.3.3 ，并将 CRS paranoia 级别配置为 3 级或更高。(CVE-2022-39958)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 10 主機上安裝的一個套件受到 dla-3293 公告中提及的多個弱點影響。

  - 在 OWASP ModSecurity 核心規則集 (owasp-modsecurity-crs) v3.1.0-rc3 及其之前版本中，可透過 {`a`b} 引致 SQL 注入繞過 (即 PL1 繞過)，其中 a 是特殊函式名稱 (例如 if)，b 是要執行的 SQL 陳述式。(CVE-2018-16384)

  - Modsecurity owasp-modsecurity-crs 3.2.0 (PL1 的 Paranoia 層級) 存在 SQL 注入繞過弱點。
    攻擊者可利用 SQL 語法中的註解字元和變數指派，繞過 Modsecurity WAF 保護，並對 Web 應用程式發動 SQL 注入攻擊。(CVE-2020-22669)

  - 在 OWASP ModSecurity 核心規則集 3.1.x 的 3.1.2 之前版本、3.2.x 的 3.2.1 之前版本以及 3.3.x 的 3.3.2 之前版本中，可透過結尾路徑名稱引致要求內文繞過弱點。(CVE-2021-35368)

  - OWASP ModSecurity 核心規則集 (CRS) 受到部分規則集繞過弱點影響，這是因為攻擊者可提交特製的 HTTP Content-Type 標頭欄位，而該欄位指出多個字元編碼配置。攻擊者可宣告多個 Content-Type 字元集名稱，進而繞過可設定的 CRS Content-Type 標頭字元集允許清單，藉此攻擊存在弱點的後端。編碼後的承載可透過此方式繞過 CRS 偵測，然後由後端解碼。舊版 CRS 3.0.x 和 3.1.x 以及目前支援的 3.2.1 和 3.3.2 版本受到影響。建議整合者和使用者分別升級至 3.2.2 和 3.3.3。(CVE-2022-39955)

  - OWASP ModSecurity 核心規則集 (CRS) 受到 HTTP multipart 要求的部分規則集繞過弱點影響，方法是透過 Content-Type 或過時的 Content-Transfer-Encoding multipart MIME 標頭欄位提交使用字元編碼配置的承載，Web 應用程式防火牆引擎和規則集不會解碼和檢查這些欄位。因此，multipart 承載會繞過偵測。支援這些編碼配置的有弱點的後端可能遭到攻擊。舊版 CRS 3.0.x 和 3.1.x 以及目前支援的 3.2.1 和 3.3.2 版本受到影響。建議整合者和使用者分別升級至 3.2.2 和 3.3.3。針對這些弱點的緩解措施取決於是否安裝最新版 ModSecurity (v2.9.6 / v3.0.8)。
    (CVE-2022-39956)

  - OWASP ModSecurity 核心規則集 (CRS) 受到回應內文繞過弱點影響。用戶端可發出包含選用字元集參數的 HTTP Accept 標頭欄位，以便以編碼形式接收回應。根據字元集而定，Web 應用程式防火牆無法解碼此回應。因此，受限資源可能會繞過偵測 (通常會偵測到對於這些資源的存取)。舊版 CRS 3.0.x 和 3.1.x 以及目前支援的 3.2.1 和 3.3.2 版本受到影響。建議整合者和使用者分別升級至 3.2.2 和 3.3.3。
    (CVE-2022-39957)

  - OWASP ModSecurity 核心規則集 (CRS) 受到回應內文繞過弱點影響，透過重複提交位元組範圍較小的 HTTP Range 標頭欄位，可依序洩漏無法偵測的小資料區段。儘管受到使用 CRS 的 Web 應用程式防火牆保護，受限資源仍可能會從後端洩漏 (通常會偵測到對於這些資源的存取)。受限資源的簡短子區段可能會繞過模式比對技術，並允許未偵測到的存取。舊版 CRS 3.0.x 和 3.1.x 以及目前支援的 3.2.1 和 3.3.2 版本受到影響。
    建議整合者和使用者分別升級至 3.2.2 和 3.3.3 ，並將 CRS paranoia 等級設定為 3 級或更高。(CVE-2022-39958)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
170888	Debian DLA-3293-1 : modsecurity-crs - LTS security update	Nessus	Debian Local Security Checks	2023/1/31	2023/9/5	critical
170888	Debian DLA-3293-1: modsecurity-crs - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/1/31	2023/9/5	critical
170888	Debian DLA-3293-1：modsecurity-crs - LTS 安全更新	Nessus	Debian Local Security Checks	2023/1/31	2023/9/5	critical
170888	Debian DLA-3293-1：modsecurity-crs - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/1/31	2023/9/5	critical

偵測

搜尋 Plugin

critical

critical

critical

critical