したがって、ALAS2023-2025-1026 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ModSecurity は、Apache、IIS および Nginx 向けのオープンソースのクロスプラットフォーム Web アプリケーションファイアウォールWAFエンジンです。 2.9.8 までのバージョンは、1 つの特別なケース (安定版stableリリースバージョン) でサービス拒否に脆弱ですペイロードのコンテンツタイプが「application/json」であり、「sanitiseMatchedBytes」アクションを実行する少なくとも 1 つのルールがある場合。パッチは、プルリクエスト 3389 で入手でき、バージョン 2.9.9の一部になることが期待されています。利用可能な既知の回避策はありません。(CVE-2025-47947)

    ModSecurity は、Apache、IIS および Nginx 向けのオープンソースのクロスプラットフォーム Web アプリケーションファイアウォールWAFエンジンです。 2.9.10 以前のバージョンには、GHSA-859r-vvv8-rm8r/ に類似したサービス拒否脆弱性が含まれていますCVE-2025-47947。「sanitizeArg」および「sanitizeArg」- これは同じアクションでエイリアスでもありますは、過剰な数の引数の追加に対して脆弱です。これにより、サービス拒否を引き起こします。
    バージョン 2.9.10 ではこの問題が修正されています。回避策として、「sanitizeArg」または「sanitizeArg」アクションを含むルールの使用を避けてください。CVE-2025-48866

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023mod_security、mod_security-mlogcALAS2023-2025-1026

high Nessus プラグイン ID 240298

バージョン 1.1