Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
31/05/2013
Corregida vulnerabilitat DoS en ModSecurity
L’equip de desenrotllament del WAF (Web Application Firewall) ModSecurity ha corregit una vulnerabilitat que podria ser explotada pels atacants per a fer caure el tallafocs.Esta fallada es podia explotar utilitzant una petició HTTP especialment manipulada perquè execute l’acció forceRequestBodyVariable amb un content-type desconegut, la qual cosa generava un punter a nul, que feia caure l’aplicació.
Younes Jaaidi, el desenrotllador que va descobrir la vulnerabilitat, ha publicat més detalls sobre l’exploit, així com una prova de concepte.
Este problema ha sigut solucionat en l’última actualització, juntament amb altres problemes coneguts. En esta versió s’utilitza libinjection per a identificar atacs d’injecció SQL. A més, la versió per al servidor web nginx ha arribat a l’estat estable.
Sistemes Afectats:ModSecurity 2.7.4
Referències:CVE-2013-2765
Solució:Actualitzar a l’última versió des del portal oficial.
Notes:The H Online
ModSecurity Changelog
ShookaLabs - ModSecurity Null Pointer Dereference DoS