リモートの Fedora 35 ホストには、FEDORA-2022-85a85c84b3 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OWASP ModSecurity Core Rule Set (CRS) は、複数の文字エンコーディングスキームを示す特別に細工された HTTP Content-Type ヘッダーフィールドを送信することによる、部分的なルールセットバイパスの影響を受けます。複数の Content-Type charset 名を宣言し、構成可能な CRS Content-Type ヘッダー charset 許可リストをバイパスすることで、脆弱なバックエンドが悪用される可能性があります。エンコードされたペイロードは、この方法で CRS 検出をバイパスし、バックエンドによってデコードされる可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。(CVE-2022-39955)

  - OWASP ModSecurity コアルールセット (CRS) は、Content-Type を介して文字エンコーディングスキームを使用するペイロード、または Web アプリケーションファイヤーウォールエンジンとルールセットによってデコードおよび検査されない非推奨の Content-Transfer-Encoding マルチパート MIME ヘッダーフィールドを送信することにより、HTTP マルチパートリクエストの部分ルールセットバイパスの影響を受けます。したがって、マルチパートペイロードは検出をバイパスします。これらのエンコーディングスキームをサポートする脆弱なバックエンドが悪用される可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。これらの脆弱性に対する緩和策は、最新の ModSecurity バージョン（v2.9.6 / v3.0.8）のインストールに依存します。
    (CVE-2022-39956)

  - OWASP ModSecurity Core Rule Set (CRS) は、応答本文のバイパスの影響を受けます。クライアントは、エンコードされた形式で応答を受信するために、オプションの charset パラメーターを含む HTTP Accept ヘッダーフィールドを発行できます。charset によっては、この応答を Web アプリケーションのファイヤーウォールでデコードできない場合があります。したがって、通常は検出されるアクセスが制限されているリソースは、検出をバイパスする可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。
    (CVE-2022-39957)

  - OWASP ModSecurity Core Rule Set (CRS) は、小さなバイト範囲の HTTP Range ヘッダーフィールドを繰り返し送信することで、検出できない小さなデータセクションを順次漏洩させる応答本文のバイパスの影響を受けます。アクセスが通常は検出される制限されたリソースが、CRS を使用する Web アプリケーションファイヤーウォールによって保護されているにもかかわらず、バックエンドから漏洩する可能性があります。制限されたリソースの短いサブセクションは、パターンマッチング技術をバイパスし、検出されないアクセスを許可する可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。
    インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードし、CRS パラノイアレベルを 3 以上に構成することが推奨されます。(CVE-2022-39958)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Fedora 32 ホストには、FEDORA-2022-90708b46e3 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OWASP ModSecurity Core Rule Set (CRS) は、複数の文字エンコーディングスキームを示す特別に細工された HTTP Content-Type ヘッダーフィールドを送信することによる、部分的なルールセットバイパスの影響を受けます。複数の Content-Type charset 名を宣言し、構成可能な CRS Content-Type ヘッダー charset 許可リストをバイパスすることで、脆弱なバックエンドが悪用される可能性があります。エンコードされたペイロードは、この方法で CRS 検出をバイパスし、バックエンドによってデコードされる可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。(CVE-2022-39955)

  - OWASP ModSecurity コアルールセット (CRS) は、Content-Type を介して文字エンコーディングスキームを使用するペイロード、または Web アプリケーションファイヤーウォールエンジンとルールセットによってデコードおよび検査されない非推奨の Content-Transfer-Encoding マルチパート MIME ヘッダーフィールドを送信することにより、HTTP マルチパートリクエストの部分ルールセットバイパスの影響を受けます。したがって、マルチパートペイロードは検出をバイパスします。これらのエンコーディングスキームをサポートする脆弱なバックエンドが悪用される可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。これらの脆弱性に対する緩和策は、最新の ModSecurity バージョン（v2.9.6 / v3.0.8）のインストールに依存します。
    (CVE-2022-39956)

  - OWASP ModSecurity Core Rule Set (CRS) は、応答本文のバイパスの影響を受けます。クライアントは、エンコードされた形式で応答を受信するために、オプションの charset パラメーターを含む HTTP Accept ヘッダーフィールドを発行できます。charset によっては、この応答を Web アプリケーションのファイヤーウォールでデコードできない場合があります。したがって、通常は検出されるアクセスが制限されているリソースは、検出をバイパスする可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。
    (CVE-2022-39957)

  - OWASP ModSecurity Core Rule Set (CRS) は、小さなバイト範囲の HTTP Range ヘッダーフィールドを繰り返し送信することで、検出できない小さなデータセクションを順次漏洩させる応答本文のバイパスの影響を受けます。アクセスが通常は検出される制限されたリソースが、CRS を使用する Web アプリケーションファイヤーウォールによって保護されているにもかかわらず、バックエンドから漏洩する可能性があります。制限されたリソースの短いサブセクションは、パターンマッチング技術をバイパスし、検出されないアクセスを許可する可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。
    インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードし、CRS パラノイアレベルを 3 以上に構成することが推奨されます。(CVE-2022-39958)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 10 ホストには、dla-3283 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OWASP ModSecurity コアルールセット (CRS) は、Content-Type を介して文字エンコーディングスキームを使用するペイロード、または Web アプリケーションファイヤーウォールエンジンとルールセットによってデコードおよび検査されない非推奨の Content-Transfer-Encoding マルチパート MIME ヘッダーフィールドを送信することにより、HTTP マルチパートリクエストの部分ルールセットバイパスの影響を受けます。したがって、マルチパートペイロードは検出をバイパスします。これらのエンコーディングスキームをサポートする脆弱なバックエンドが悪用される可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。これらの脆弱性に対する緩和策は、最新の ModSecurity バージョン（v2.9.6 / v3.0.8）のインストールに依存します。
    (CVE-2022-39956)

  - 2.9.6 以前の、および 3.0.8 より前の 3.x の ModSecurity では、HTTP マルチパートリクエストが不適切に解析され、ウェブアプリケーションファイアウォールをバイパスする可能性があります。注: これは CVE-2022-39956 と関連していますが、ModSecurity (C 言語) コードベースに対する独立した変更と見なすことができます。(CVE-2022-48279)

  - 2.9.7 以前の ModSecurity ファイルアップロードにおける「\0」バイトの不適切な処理により、FILES_TMP_CONTENT コレクションを読み込むルールを実行する際に、ウェブアプリケーションファイアウォールのバイパスと、ウェブアプリケーションファイアウォールのバッファオーバーフローが発生する可能性があります。(CVE-2023-24021)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 10 ホストには、dla-3293 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - SQL インジェクションバイパス (別名 PL1 バイパス) が、{`a`b} を介して v3.1.0-rc3 までの OWASP ModSecurity Core Rule Set (owasp-modsecurity-crs) に存在します。ここで、a は特別な関数名 (if など) で、b  は実行される SQL ステートメントを表します。(CVE-2018-16384)

  - Modsecurity owasp-modsecurity-crs 3.2.0 (PL1 の Paranoia レベル) に、SQL インジェクションバイパスの脆弱性があります。 
    攻撃者は、SQL 構文のコメント文字と変数の割り当てを使用して Modsecurity WAF 保護をバイパスし、Web アプリケーションに SQL インジェクション攻撃を行います。（CVE-2020-22669）

  - OWASP ModSecurity コアルールセット 3.1.x より前の 3.1.2、3.2.x より前の 3.2.1、および 3.3.x より前の 3.3.2 は、末尾のパス名を介してリクエスト本文バイパスの影響を受けます。(CVE-2021-35368)

  - OWASP ModSecurity Core Rule Set (CRS) は、複数の文字エンコーディングスキームを示す特別に細工された HTTP Content-Type ヘッダーフィールドを送信することによる、部分的なルールセットバイパスの影響を受けます。複数の Content-Type charset 名を宣言し、構成可能な CRS Content-Type ヘッダー charset 許可リストをバイパスすることで、脆弱なバックエンドが悪用される可能性があります。エンコードされたペイロードは、この方法で CRS 検出をバイパスし、バックエンドによってデコードされる可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。(CVE-2022-39955)

  - OWASP ModSecurity コアルールセット (CRS) は、Content-Type を介して文字エンコーディングスキームを使用するペイロード、または Web アプリケーションファイヤーウォールエンジンとルールセットによってデコードおよび検査されない非推奨の Content-Transfer-Encoding マルチパート MIME ヘッダーフィールドを送信することにより、HTTP マルチパートリクエストの部分ルールセットバイパスの影響を受けます。したがって、マルチパートペイロードは検出をバイパスします。これらのエンコーディングスキームをサポートする脆弱なバックエンドが悪用される可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。これらの脆弱性に対する緩和策は、最新の ModSecurity バージョン（v2.9.6 / v3.0.8）のインストールに依存します。
    (CVE-2022-39956)

  - OWASP ModSecurity Core Rule Set (CRS) は、応答本文のバイパスの影響を受けます。クライアントは、エンコードされた形式で応答を受信するために、オプションの charset パラメーターを含む HTTP Accept ヘッダーフィールドを発行できます。charset によっては、この応答を Web アプリケーションのファイヤーウォールでデコードできない場合があります。したがって、通常は検出されるアクセスが制限されているリソースは、検出をバイパスする可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。
    (CVE-2022-39957)

  - OWASP ModSecurity Core Rule Set (CRS) は、小さなバイト範囲の HTTP Range ヘッダーフィールドを繰り返し送信することで、検出できない小さなデータセクションを順次漏洩させる応答本文のバイパスの影響を受けます。アクセスが通常は検出される制限されたリソースが、CRS を使用する Web アプリケーションファイヤーウォールによって保護されているにもかかわらず、バックエンドから漏洩する可能性があります。制限されたリソースの短いサブセクションは、パターンマッチング技術をバイパスし、検出されないアクセスを許可する可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。
    インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードし、CRS パラノイアレベルを 3 以上に構成することが推奨されます。(CVE-2022-39958)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 11 ホストには、dla-4265 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4265-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 8 月 8 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ : modsecurity-crs バージョン : 3.3.4-1~deb11u1 CVE ID : CVE-2020-22669 CVE-2022-39955 CVE-2022-39956 CVE-2022-39957 CVE-2022-39958 Debian バグ : 1021137

    ModSecurity で使用する汎用攻撃検知ルールのセットである modsecurity-crs における複数の問題が修正されました。

    CVE-2020-22669

        SQL インジェクションのバイパス

    CVE-2022-39955

        部分的なルールセットのバイパス

    CVE-2022-39956

        部分的なルールセットのバイパス

    CVE-2022-39957

        応答本文のバイパス

    CVE-2022-39958

        応答本文のバイパス

    Debian 11 bullseye においては、これらの問題はバージョン 3.3.4-1~deb11u1 で修正されました。

    お使いの modsecurity-crs パッケージをアップグレードすることを推奨します。

    modsecurity-crs の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/modsecurity-crs

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - OWASP ModSecurity コアルールセット (CRS) は、Content-Type を介して文字エンコーディングスキームを使用するペイロード、または Web アプリケーションファイヤーウォールエンジンとルールセットによってデコードおよび検査されない非推奨の Content-Transfer-Encoding マルチパート MIME ヘッダーフィールドを送信することにより、HTTP マルチパートリクエストの部分ルールセットバイパスの影響を受けます。したがって、マルチパートペイロードは検出をバイパスします。これらのエンコーディングスキームをサポートする脆弱なバックエンドが悪用される可能性があります。レガシー CRS バージョン 3.0.x と 3.1.x、ならびに現在サポートされているバージョン 3.2.1 と 3.3.2 が影響を受けます。インテグレーターとユーザーは、それぞれ 3.2.2 と 3.3.3 にアップグレードすることが推奨されます。これらの脆弱性に対する緩和策は、最新の ModSecurity バージョン（v2.9.6 / v3.0.8）のインストールに依存します。
    (CVE-2022-39956)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
169232	Fedora 35: mod_security / mod_security_crs (2022-85a85c84b3)	Nessus	Fedora Local Security Checks	2022/12/23	2024/11/14	critical
169143	Fedora 36: mod_security / mod_security_crs (2022-90708b46e3)	Nessus	Fedora Local Security Checks	2022/12/22	2024/11/14	critical
170697	Debian DLA-3283-1: modsecurity-apache - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/1/27	2025/1/22	critical
170888	Debian DLA-3293-1: modsecurity-crs - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/1/31	2025/1/22	critical
246422	Debian dla-4265 : modsecurity-crs - セキュリティ更新	Nessus	Debian Local Security Checks	2025/8/8	2025/8/8	critical
225025	Linux Distros のパッチ未適用の脆弱性: CVE-2022-39956	Nessus	Misc.	2025/3/5	2025/5/9	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical