The remote Debian 10 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-3293 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3293-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                         Tobias Frost     January 30, 2023                              https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : modsecurity-crs     Version        : 3.2.3-0+deb10u3     CVE ID         : CVE-2018-16384 CVE-2020-22669 CVE-2021-35368 CVE-2022-39955                      CVE-2022-39956 CVE-2022-39957 CVE-2022-39958     Debian Bug     : 924352 992000 1021137

    Multiple issues were found in modsecurity-crs, a set of generic attack     detection rules for use with ModSecurity or compatible web application     firewalls, which allows remote attackers to bypass the web applications     firewall.

    If you are using modsecurity-crs with apache2 / libapache2-modsecurity, please     make sure to review your modsecurity configuration, usually     /etc/modsecurity/modsecurity.conf, against the updated recommended     configration, available in /etc/modsecurity/modsecurity.conf-recommended:
    Some of the changes to the recommended rules are required to avoid WAF bypasses     in certain circumstances.

    Please note that CVE-2022-39956 requires an updated modsecurity-apache packge,     which has been previously uploaded to buster-security, see Debian LTS Advisory     DLA-3283-1 for details.

    If you are using some other solution in connection with the     modsecurity-ruleset, for example one that it is using libmodsecurity3, your     solution might error out with an error message like Error creating rule:
    Unknown variable: MULTIPART_PART_HEADERS. In this case you can disable the     mitigation for CVE-2022-29956 by removing the rule file     REQUEST-922-MULTIPART-ATTACK.conf.  However, be aware that this will disable     the protection and could allow attackers to bypass your Web Application     Firewall.

    There is no package in Debian which depends on libmodsecurity3, so if you are     only using software which is available from Debian, you are not affected by     this limitation.

    Kudos to @airween for the support and help while perparing the update.

    CVE-2018-16384

        A SQL injection bypass (aka PL1 bypass) exists in OWASP ModSecurity Core Rule         Set (owasp-modsecurity-crs) through v3.1.0-rc3 via {`a`b} where a is a special         function name (such as if) and b is the SQL statement to be executed.

    CVE-2020-22669

        Modsecurity owasp-modsecurity-crs 3.2.0 (Paranoia level at PL1) has a SQL         injection bypass vulnerability. Attackers can use the comment characters and         variable assignments in the SQL syntax to bypass Modsecurity WAF protection and         implement SQL injection attacks on Web applications.

    CVE-2022-39955

        The OWASP ModSecurity Core Rule Set (CRS) is affected by a partial rule set         bypass by submitting a specially crafted HTTP Content-Type header field that         indicates multiple character encoding schemes. A vulnerable back-end can         potentially be exploited by declaring multiple Content-Type charset names and         therefore bypassing the configurable CRS Content-Type header charset allow         list. An encoded payload can bypass CRS detection this way and may then be         decoded by the backend. The legacy CRS versions 3.0.x and 3.1.x are affected,         as well as the currently supported versions 3.2.1 and 3.3.2. Integrators and         users are advised to upgrade to 3.2.2 and 3.3.3 respectively.

    CVE-2022-39956

        The OWASP ModSecurity Core Rule Set (CRS) is affected by a partial rule set         bypass for HTTP multipart requests by submitting a payload that uses a         character encoding scheme via the Content-Type or the deprecated         Content-Transfer-Encoding multipart MIME header fields that will not be decoded         and inspected by the web application firewall engine and the rule set. The         multipart payload will therefore bypass detection. A vulnerable backend that         supports these encoding schemes can potentially be exploited. The legacy CRS         versions 3.0.x and 3.1.x are affected, as well as the currently supported         versions 3.2.1 and 3.3.2. Integrators and users are advised upgrade to 3.2.2         and 3.3.3 respectively. The mitigation against these vulnerabilities depends on         the installation of the latest ModSecurity version (v2.9.6 / v3.0.8).

    CVE-2022-39957

        The OWASP ModSecurity Core Rule Set (CRS) is affected by a response body         bypass. A client can issue an HTTP Accept header field containing an optional         charset parameter in order to receive the response in an encoded form.
        Depending on the charset, this response can not be decoded by the web         application firewall. A restricted resource, access to which would ordinarily         be detected, may therefore bypass detection. The legacy CRS versions 3.0.x and         3.1.x are affected, as well as the currently supported versions 3.2.1 and         3.3.2. Integrators and users are advised to upgrade to 3.2.2 and 3.3.3         respectively.

    CVE-2022-39958

        The OWASP ModSecurity Core Rule Set (CRS) is affected by a response body bypass         to sequentially exfiltrate small and undetectable sections of data by         repeatedly submitting an HTTP Range header field with a small byte range. A         restricted resource, access to which would ordinarily be detected, may be         exfiltrated from the backend, despite being protected by a web application         firewall that uses CRS. Short subsections of a restricted resource may bypass         pattern matching techniques and allow undetected access. The legacy CRS         versions 3.0.x and 3.1.x are affected, as well as the currently supported         versions 3.2.1 and 3.3.2. Integrators and users are advised to upgrade to 3.2.2         and 3.3.3 respectively and to configure a CRS paranoia level of 3 or higher.

    For Debian 10 buster, these problems have been fixed in version     3.2.3-0+deb10u3.

    We recommend that you upgrade your modsecurity-crs packages.

    For the detailed security status of modsecurity-crs please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/modsecurity-crs

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程 Debian 10 主机上安装的程序包受到 dla-3293 公告中提及的多个漏洞影响。

  - OWASP ModSecurity 核心规则集 (owasp-modsecurity-crs) v3.1.0-rc3 及之前所有版本存在可透过 {`a`b} 触发的 SQL 注入绕过（即 PL1 绕过）漏洞影响，其中 a 表示特殊的函数名称（例如 if），b 表示要执行的 SQL 语句。(CVE-2018-16384)

  - Modsecurity owasp-modsecurity-crs 3.2.0 （PL1 的 Paranoia 级别）存在 SQL 注入绕过漏洞。
    攻击者可利用 SQL 语法中的注释字符和变量分配绕过 Modsecurity WAF 保护，并对 Web 应用程序实施 SQL 注入攻击。(CVE-2020-22669)

  - OWASP ModSecurity 核心规则集 3.1.x 版的 3.1.2 之前版本、3.2.x 版的 3.2.1 之前版本、3.3.x 版的 3.3.2 之前版本受到通过尾部路径名触发的请求正文绕过漏洞影响。(CVE-2021-35368)

  - OWASP ModSecurity 核心规则集 (CRS) 受到部分规则集绕过漏洞的影响，通过提交指示多种字符编码方案的特制 HTTP Content-Type 标头字段可触发此漏洞。攻击可通过声明多个 Content-Type 字符集名称来利用易受攻击的后端，从而绕过可配置的 CRS Content-Type 标头字符集允许列表。编码的负载可以通过这种方式绕过 CRS 检测，然后可能被后端解码。旧版 CRS 3.0.x 和 3.1.x 以及当前支持的版本 3.2.1 和 3.3.2 受到影响。建议集成商和用户分别升级到 3.2.2 和 3.3.3。(CVE-2022-39955)

  - OWASP ModSecurity 核心规则集 (CRS) 受到 HTTP 多部分请求的部分规则集绕过的影响，方法是通过 Content-Type 或已弃用的 Content-Transfer-Encoding 多部分 MIME 标头字段（不会被 Web 应用程序防火墙引擎和规则集解码和检查）提交使用字符编码方案的负载。因此，多部分负载将绕过检测。支持这些编码方案的易受攻击的后端可能被利用。旧版 CRS 3.0.x 和 3.1.x 以及当前支持的版本 3.2.1 和 3.3.2 受到影响。建议集成商和用户分别升级到 3.2.2 和 3.3.3。针对这些漏洞的缓解措施取决于安装的最新 ModSecurity 版本 (v2.9.6 / v3.0.8)。
    (CVE-2022-39956)

  - OWASP ModSecurity 核心规则集 (CRS) 受到响应正文绕过漏洞的影响。客户端可发出包含可选字符集参数的 HTTP Accept 标头字段，以便接收编码形式的响应。根据字符集不同，此响应无法被 Web 应用程序防火墙解码。因此，受限资源可绕过检测（通常会检测到对受限资源的访问）。旧版 CRS 3.0.x 和 3.1.x 以及当前支持的版本 3.2.1 和 3.3.2 受到影响。建议集成商和用户分别升级到 3.2.2 和 3.3.3。
    (CVE-2022-39957)

  - OWASP ModSecurity 核心规则集 (CRS) 受到响应正文绕过漏洞的影响，通过重复提交字节范围较小的 HTTP Range 标头字段，可依次泄露无法检测的较小数据部分。尽管受到使用 CRS 的 Web 应用程序防火墙的保护，但通常会被检测到的受限制资源可能会从后端泄露。受限资源的短小节可能会绕过模式匹配技术并允许未检测到的访问。旧版 CRS 3.0.x 和 3.1.x 以及当前支持的版本 3.2.1 和 3.3.2 受到影响。
    建议集成商和用户分别升级到 3.2.2 和 3.3.3 ，并将 CRS paranoia 级别配置为 3 级或更高。(CVE-2022-39958)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Debian 10 ホストには、dla-3293 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - SQL インジェクションバイパス (別名 PL1 バイパス) が、{`a`b} を介して v3.1.0-rc3 までの OWASP ModSecurity Core Rule Set (owasp-modsecurity-crs) に存在します。ここで、a は特別な関数名 (if など) で、b  は実行される SQL ステートメントを表します。(CVE-2018-16384)

  - Modsecurity owasp-modsecurity-crs 3.2.0 (PL1 の Paranoia レベル) に、SQL インジェクションバイパスの脆弱性があります。 
    攻撃者は、SQL 構文のコメント文字と変数の割り当てを使用して Modsecurity WAF 保護をバイパスし、Web アプリケーションに SQL インジェクション攻撃を行います。（CVE-2020-22669）

  - OWASP ModSecurity コアルールセット 3.1.x より前の 3.1.2、3.2.x より前の 3.2.1、および 3.3.x より前の 3.3.2 は、末尾のパス名を介してリクエスト本文バイパスの影響を受けます。(CVE-2021-35368)

  - OWASP ModSecurity Core Rule Set (CRS) は、複数の文字エンコーディングスキームを示す特別に細工された HTTP Content-Type ヘッダーフィールドを送信することによる、部分的なルールセットバイパスの影響を受けます。複数の Content-Type charset 名を宣言し、構成可能な CRS Content-Type ヘッダー charset 許可リストをバイパスすることで、脆弱なバックエンドが悪用される可能性があります。エンコードされたペイロードは、この方法で CRS 検出をバイパスし、バックエンドによってデコードされる可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。(CVE-2022-39955)

  - OWASP ModSecurity コアルールセット (CRS) は、Content-Type を介して文字エンコーディングスキームを使用するペイロード、または Web アプリケーションファイヤーウォールエンジンとルールセットによってデコードおよび検査されない非推奨の Content-Transfer-Encoding マルチパート MIME ヘッダーフィールドを送信することにより、HTTP マルチパートリクエストの部分ルールセットバイパスの影響を受けます。したがって、マルチパートペイロードは検出をバイパスします。これらのエンコーディングスキームをサポートする脆弱なバックエンドが悪用される可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。これらの脆弱性に対する緩和策は、最新の ModSecurity バージョン（v2.9.6 / v3.0.8）のインストールに依存します。
    (CVE-2022-39956)

  - OWASP ModSecurity Core Rule Set (CRS) は、応答本文のバイパスの影響を受けます。クライアントは、エンコードされた形式で応答を受信するために、オプションの charset パラメーターを含む HTTP Accept ヘッダーフィールドを発行できます。charset によっては、この応答を Web アプリケーションのファイヤーウォールでデコードできない場合があります。したがって、通常は検出されるアクセスが制限されているリソースは、検出をバイパスする可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。
    (CVE-2022-39957)

  - OWASP ModSecurity Core Rule Set (CRS) は、小さなバイト範囲の HTTP Range ヘッダーフィールドを繰り返し送信することで、検出できない小さなデータセクションを順次漏洩させる応答本文のバイパスの影響を受けます。アクセスが通常は検出される制限されたリソースが、CRS を使用する Web アプリケーションファイヤーウォールによって保護されているにもかかわらず、バックエンドから漏洩する可能性があります。制限されたリソースの短いサブセクションは、パターンマッチング技術をバイパスし、検出されないアクセスを許可する可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。
    インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードし、CRS パラノイアレベルを 3 以上に構成することが推奨されます。(CVE-2022-39958)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Debian 10 主機上安裝的一個套件受到 dla-3293 公告中提及的多個弱點影響。

  - 在 OWASP ModSecurity 核心規則集 (owasp-modsecurity-crs) v3.1.0-rc3 及其之前版本中，可透過 {`a`b} 引致 SQL 注入繞過 (即 PL1 繞過)，其中 a 是特殊函式名稱 (例如 if)，b 是要執行的 SQL 陳述式。(CVE-2018-16384)

  - Modsecurity owasp-modsecurity-crs 3.2.0 (PL1 的 Paranoia 層級) 存在 SQL 注入繞過弱點。
    攻擊者可利用 SQL 語法中的註解字元和變數指派，繞過 Modsecurity WAF 保護，並對 Web 應用程式發動 SQL 注入攻擊。(CVE-2020-22669)

  - 在 OWASP ModSecurity 核心規則集 3.1.x 的 3.1.2 之前版本、3.2.x 的 3.2.1 之前版本以及 3.3.x 的 3.3.2 之前版本中，可透過結尾路徑名稱引致要求內文繞過弱點。(CVE-2021-35368)

  - OWASP ModSecurity 核心規則集 (CRS) 受到部分規則集繞過弱點影響，這是因為攻擊者可提交特製的 HTTP Content-Type 標頭欄位，而該欄位指出多個字元編碼配置。攻擊者可宣告多個 Content-Type 字元集名稱，進而繞過可設定的 CRS Content-Type 標頭字元集允許清單，藉此攻擊存在弱點的後端。編碼後的承載可透過此方式繞過 CRS 偵測，然後由後端解碼。舊版 CRS 3.0.x 和 3.1.x 以及目前支援的 3.2.1 和 3.3.2 版本受到影響。建議整合者和使用者分別升級至 3.2.2 和 3.3.3。(CVE-2022-39955)

  - OWASP ModSecurity 核心規則集 (CRS) 受到 HTTP multipart 要求的部分規則集繞過弱點影響，方法是透過 Content-Type 或過時的 Content-Transfer-Encoding multipart MIME 標頭欄位提交使用字元編碼配置的承載，Web 應用程式防火牆引擎和規則集不會解碼和檢查這些欄位。因此，multipart 承載會繞過偵測。支援這些編碼配置的有弱點的後端可能遭到攻擊。舊版 CRS 3.0.x 和 3.1.x 以及目前支援的 3.2.1 和 3.3.2 版本受到影響。建議整合者和使用者分別升級至 3.2.2 和 3.3.3。針對這些弱點的緩解措施取決於是否安裝最新版 ModSecurity (v2.9.6 / v3.0.8)。
    (CVE-2022-39956)

  - OWASP ModSecurity 核心規則集 (CRS) 受到回應內文繞過弱點影響。用戶端可發出包含選用字元集參數的 HTTP Accept 標頭欄位，以便以編碼形式接收回應。根據字元集而定，Web 應用程式防火牆無法解碼此回應。因此，受限資源可能會繞過偵測 (通常會偵測到對於這些資源的存取)。舊版 CRS 3.0.x 和 3.1.x 以及目前支援的 3.2.1 和 3.3.2 版本受到影響。建議整合者和使用者分別升級至 3.2.2 和 3.3.3。
    (CVE-2022-39957)

  - OWASP ModSecurity 核心規則集 (CRS) 受到回應內文繞過弱點影響，透過重複提交位元組範圍較小的 HTTP Range 標頭欄位，可依序洩漏無法偵測的小資料區段。儘管受到使用 CRS 的 Web 應用程式防火牆保護，受限資源仍可能會從後端洩漏 (通常會偵測到對於這些資源的存取)。受限資源的簡短子區段可能會繞過模式比對技術，並允許未偵測到的存取。舊版 CRS 3.0.x 和 3.1.x 以及目前支援的 3.2.1 和 3.3.2 版本受到影響。
    建議整合者和使用者分別升級至 3.2.2 和 3.3.3 ，並將 CRS paranoia 等級設定為 3 級或更高。(CVE-2022-39958)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
170888	Debian dla-3293 : modsecurity-crs - security update	Nessus	Debian Local Security Checks	2023/1/31	2025/1/22	critical
170888	Debian DLA-3293-1：modsecurity-crs - LTS 安全更新	Nessus	Debian Local Security Checks	2023/1/31	2025/1/22	critical
170888	Debian DLA-3293-1: modsecurity-crs - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/1/31	2025/1/22	critical
170888	Debian DLA-3293-1：modsecurity-crs - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/1/31	2025/1/22	critical

検出

プラグインの検索

critical

critical

critical

critical