- 2.7.5 への更新によるこのパッケージの完全なオーバーホール。

- 2.2.8-0-g0f07cbb への ruleset 更新。

- mod_security2 に対してプライベートな新しい構成フレームワーク： /etc/apache2/conf.d/mod_security2.conf は、 /usr/share/apache2-mod_security2/rules/modsecurity_crs_1 0_setup.conf をロードしてから、/etc/apache2/mod_security2.d/*.conf をロードします。これは、/etc/apache2/conf.d/mod_security2.conf のアドバイスに基づいたセットアップです。なお、構成の開始点は、 /etc/apache2/conf.d/mod_security2.conf となります

- !!! mod_security2 を実行するために、 mod_unique_id が必要であることに注意してください!

- modsecurity-apache_2.7.5-build_fix_pcre.diff は、誤りのあるリンカーパラメーターを変更し、共有オブジェクトで rpath を防止します。

- 以下のバグを含む修正：

- CVE-2009-5031、CVE-2012-2751 [bnc#768293] パラメーターの処理をリクエストします

- [bnc#768293] マルチパートのバイパス、マイナーな脅威

- CVE-2013-1915 [bnc#813190] XML 外部エンティティの脆弱性

- CVE-2012-4528 [bnc#789393] ルールのバイパス

- CVE-2013-2765 [bnc#822664] NULL ポインターデリファレンスのクラッシュ

- 2.5.9 から 2.7.5 への新規の内容、重要な変更のみ：

- GPLv2 を Apache ライセンス v2 で置換

- ルールはソースの tarball の一部ではありませんが、外部で上流は保持され、このパッケージに含まれます。

- ドキュメントは wiki に掲載されました。パッケージには、FAQ と html 形式の参照マニュアルが含まれています。

- 実際にハッシュを参照しているディレクティブで用語「暗号化」の名前を変更しました。詳細については、CHANGES ファイルを参照してください。

- 新しいディレクティブ SecXmlExternalEntity、デフォルトではオフ

- ロギング時に発生する s390x のバイト変換の問題が修正されました。

- Coverity のスキャナーにより発見された多数のマイナーな問題が修正されました

- 参照マニュアルを更新しました

- 一部のタイムゾーンにログインしたときに生じる誤った時間の計算が修正されました。

- 測定リクエスト/回答フェーズに対して、時間測定機構を詳細な粒度のあるものに置換されました。（ストップウォッチは互換性のために保持。）

- クッキーパーサーメモリ漏洩の修正

- マルチパートの Content-Disposition ヘッダーの引用符で囲まれた文字列の解析が修正されました。

- SDBM デッドロックの修正

- @rsub メモリ漏洩の修正

- クッキーセパレーターコードの改善

- ビルドエラーの修正

- コンパイルタイムのオプション --enable-htaccess-config（設定）

バナーによると、リモートホストにインストールされている ModSecurity のバージョンは 2.7.0 より前です。このため、セキュリティバイパスの脆弱性の影響を受ける可能性があります。HTTP POST リクエストおよび余分な行を含む「Content-Disposition」ヘッダーに関連するエラーが存在します。これにより、リモートの攻撃者が特定のフィルターをバイパスし、攻撃を仕掛ける可能性があります。

Nessus はこの問題をテストしていませんが、その代わりにサーバーのバナーのバージョンだけに依存していることに、注意してください。

- 2.7.1 に更新

- コアルールセットを 2.2.6 に更新

- libxml2 >= 2.9 に対するビルドを修正（upstreamed）

- 欠落したディレクティブを追加 RHBZ #569360

- マルチパート/無効なパートのルールセットバイパス問題を修正（CVE-2012-4528）（RHBZ #867424、#867773、#867774）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

apache-mod_security で複数の脆弱性が発見され、修正されています：

2.6.6 より前の ModSecurity を PHP で使用すると、multipart/form-data Content-Type ヘッダー付きのリクエストの Content-Disposition フィールド内のリクエストパラメーター値の始めにある単一引用符が適切に処理されません。これによって、リモートの攻撃者はフィルタリングルールをバイパスし、クロスサイトスクリプティング（XSS）攻撃などのその他の攻撃を実行できます。注：この脆弱性は、CVE-2009-5031 に対する修正が不完全なために存在します（CVE-2012-2751）。

ModSecurity <= 2.6.8 はマルチパート/無効なパートのルールセットのバイパスに関する問題に脆弱、これは 2.7.0（2012 年 10 月 16 日にリリース）で修正されています（CVE-2012-4528）。

更新パッケージには、これらの問題を修正するため、パッチが適用されています。

apache-mod_security で脆弱性が発見され、修正されました：

ModSecurity <= 2.6.8 はマルチパート/無効なパートのルールセットのバイパスに関する問題に脆弱、これは 2.7.0（2012 年 10 月 16 日にリリース）で修正されています（CVE-2012-4528）。

この問題を修正する更新済みパッケージが適用されています。

注：このアドバイザリには、以前誤って MDVSA-2013:016 の識別子が割り当てられていました。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
75113	openSUSE セキュリティ更新：apache2-mod_security2 （openSUSE-SU-2013:1331-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
67126	ModSecurity < 2.7.0 のマルチパートリクエスト解析フィルターのバイパス	Nessus	Firewalls	2013/7/2	2022/4/11	medium
75112	openSUSE セキュリティ更新：apache2-mod_security2 （openSUSE-SU-2013:1336-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
63037	Fedora 18：mod_security-2.7.1-3.fc18 / mod_security_crs-2.2.6-3.fc18（2012-18278）	Nessus	Fedora Local Security Checks	2012/11/26	2021/1/11	medium
63127	Fedora 17：mod_security-2.7.1-3.fc17 / mod_security_crs-2.2.6-3.fc17（2012-18315）	Nessus	Fedora Local Security Checks	2012/12/3	2021/1/11	medium
63331	Mandriva Linux セキュリティアドバイザリ：apache-mod_security（MDVSA-2012：182）	Nessus	Mandriva Local Security Checks	2012/12/24	2021/1/6	medium
66043	Mandriva Linux セキュリティアドバイザリ：apache-mod_security（MDVSA-2013：029）	Nessus	Mandriva Local Security Checks	2013/4/20	2021/1/6	medium

検出

プラグインの検索

high

medium

high

medium

medium

medium

medium