Oracle Solaris サードパーティパッチの更新：modsecurity（cve_2012_2751_improper_input）

high Nessus プラグイン ID 80704

Language:

概要

リモートの Solaris システムに、サードパーティのソフトウェアに対するセキュリティのパッチがありません。

説明

リモートの Solaris システムに、次のセキュリティの更新に対処するのに必要なパッチがありません：

2.6.6 より前の ModSecurity を PHP で使用するとき、multipart/form-data Content-Type ヘッダーを使用したリクエストの Content-Disposition フィールド内のリクエストパラメーター値の始めのシングルクォートの処理が不適切なため、リモートの攻撃者はフィルタリングルールをバイパスし、クロスサイトスクリプティング（XSS）攻撃などその他の攻撃を実行する可能性があります。注：この脆弱性は、 CVE-2009-5031 の修正が不完全なために存在します。(CVE-2012-2751)

- 2.7.3 より前の ModSecurity では、リモートの攻撃者が任意のファイルを読み込み、イントラネットのサーバーに HTTP リクエストを送信することができ、エンティティー参照を XML 外部エンティティー宣言と組み合わせること（すなわち XML 外部エンティティ（XXE）の脆弱性）を通じて、サービス拒否（CPU またはメモリ消費）を引き起こす可能性があります。(CVE-2013-1915)