mod_security_crs v4.25.2 добавлен в репозиторий CodeIT. mod_security_crs — набор правил OWASP CRS для ModSecurity. Пакеты собраны для RHEL, CentOS, AlmaLinux, Rocky Linux и Oracle Linux 8 и 9, а также для Ubuntu 22.04 и 24.04.
Это обновление устраняет уязвимости. Рекомендуется обновиться.
Основные изменения:
- Бэкпортировано исправление ложного срабатывания для сопоставления подстроки user agent `vega` со `veganism.social` (rule 913100) (Esad Cetiner, cherry-pick из #4777)
- Бэкпортировано исправление, чтобы `tx.crs_skip_response_analysis` также пропускал правила тела ответа на этапе 4; ранее пропускались только правила заголовка на этапе 3 (new rule 950022) (Jozef Sudolský, cherry-pick из #4807)
- Бэкпортирована по умолчанию обработка и разбор JSON для типов содержимого `application/*+json` (включая подтипы, содержащие `+`, такие как `application/vc+ld+json`), а также типов содержимого AWS `application/x-amz-json-1.0`/`1.1`, так что эти тела JSON-запросов больше не блокируются allow-list по content-type и не остаются без проверки (new rules 901360, 901370) (Felipe Zipitría, cherry-pick из #4775 and #4828)
Исправленные уязвимости:
- Бэкпортировано исправление для [GHSA-575j-qr6p-9763] путём добавления `REQUEST_FILENAME` в цели правил RCE, так что полезные нагрузки command injection, размещённые в URL path, проверяются так же, как и находящиеся в `ARGS` (rules 932125-932390, except 932200, where every URL path contains the `/` it requires) (Max Leske)
- Бэкпортировано исправление для [GHSA-89h9-2j8h-9gp2] путём приведения имени параметра `charset` к нижнему регистру перед сопоставлением, так что `CHARSET=` в верхнем или смешанном регистре в `Content-Type` больше не может обходить проверку allow-list для charset (rule 920480) (Felipe Zipitría)
- Бэкпортировано исправление для [GHSA-qmx4-jfcv-fgww] путём сбора каждого значения `_charset_`, так что второй part multipart или `_charset_` в query-string больше не может затенять недопустимый charset (rule 922100) (Ervin Hegedüs)
- Бэкпортировано исправление, удаляющее обходной предел длины в обнаружении SQL `(X)OR` injection (rule 942390) (Felipe Zipitría, cherry-pick из #4713)
- Бэкпортировано исправление для [V29-260924] путём допуска завершающих `/`, а также точек после расширения, так что имя загружаемого файла PHP или JSP, оканчивающееся на `/`, больше не может обходить проверки расширения загрузки (rules 933110, 944140) (Felipe Zipitría, cherry-pick из #4815)
- Формализовано правило 932171 (Shellshock, CVE-2014-6271) в файл `regex-assembly` и применена стандартная нормализация класса пробельных символов [sx0b]; обнаружение префикса `json.` в ARGS_NAMES само по себе уже присутствовало в этой ветке через неотслеживаемое исправление, так что это изменение касается сопровождаемости/согласованности, а не функционального исправления (partial cherry-pick of #4703)