深刻度

テーマ

Debian DLA-3283-1: modsecurity-apache - LTS セキュリティ更新

critical Nessus プラグイン ID 170697

言語:

概要

リモートの Debian ホストに 1 つまたは複数のセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 10 ホストには、dla-3283 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- OWASP ModSecurity コアルールセット (CRS) は、Content-Type を介して文字エンコーディングスキームを使用するペイロード、または Web アプリケーションファイヤーウォールエンジンとルールセットによってデコードおよび検査されない非推奨の Content-Transfer-Encoding マルチパート MIME ヘッダーフィールドを送信することにより、HTTP マルチパートリクエストの部分ルールセットバイパスの影響を受けます。したがって、マルチパートペイロードは検出をバイパスします。これらのエンコーディングスキームをサポートする脆弱なバックエンドが悪用される可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。これらの脆弱性に対する緩和策は、最新の ModSecurity バージョン（v2.9.6 / v3.0.8）のインストールに依存します。
(CVE-2022-39956)

- 2.9.6 以前の、および 3.0.8 より前の 3.x の ModSecurity では、HTTP マルチパートリクエストが不適切に解析され、ウェブアプリケーションファイアウォールをバイパスする可能性があります。注: これは CVE-2022-39956 と関連していますが、ModSecurity (C 言語) コードベースに対する独立した変更と見なすことができます。(CVE-2022-48279)

- 2.9.7 以前の ModSecurity ファイルアップロードにおける「\0」バイトの不適切な処理により、FILES_TMP_CONTENT コレクションを読み込むルールを実行する際に、ウェブアプリケーションファイアウォールのバイパスと、ウェブアプリケーションファイアウォールのバッファオーバーフローが発生する可能性があります。(CVE-2023-24021)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

modsecurity-apache パッケージをアップグレードしてください。

Debian 10 buster では、これらの問題はバージョン 2.9.3-1+deb10u2 で修正されています。

プラグインの詳細

深刻度: Critical

ID: 170697

ファイル名: debian_DLA-3283.nasl

バージョン: 1.0

タイプ: local

エージェント: unix

ファミリー: Debian Local Security Checks

公開日: 2023/1/27

更新日: 2023/1/27

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment

リスク情報

VPR

リスクファクター: Medium

スコア: 6.7

CVSS v2

リスクファクター: Critical

Base Score: 10

Temporal Score: 7.4

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

現状ベクトル: CVSS2#E:U/RL:OF/RC:C

CVSS スコアのソース: CVE-2022-39956

CVSS v3

リスクファクター: Critical

Base Score: 9.8

Temporal Score: 8.5

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:debian:debian_linux:libapache2-mod-security2, cpe:/o:debian:debian_linux:10.0

必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2023/1/26

脆弱性公開日: 2022/9/20

参照情報

CVE: CVE-2022-39956, CVE-2022-48279, CVE-2023-24021