mod_security v2.9.15 ha sido añadido al repositorio de CodeIT. ModSecurity es el módulo de cortafuegos de aplicaciones web (WAF) para Apache httpd. Los paquetes se han compilado para RHEL, CentOS, AlmaLinux, Rocky Linux y Oracle Linux 8 y 9, y para Ubuntu 22.04 y 24.04.
Esta actualización corrige vulnerabilidades de seguridad. Se recomienda actualizar.
Cambios principales:
- fix(iis): corregida la inversión en la nomenclatura de CustomAction ID para InstallModule32/64 [Issue #3603 – @fzipi]
Vulnerabilidades corregidas:
- fix: t:htmlEntityDecode no decodifica todas las entidades HTML nombradas ASCII [PR from private repo – @marcstern, @fzipi, @airween; fixed GHSA-cxqf-vgrr-xxrv]
- fix: se usa un valor seguro para la verificación del host en caso de descarga remota de reglas [PR from private repo – @amitu314, @airween; fixed GHSA-2vqc-36qp-ccmw]
- fix: añadida una comprobación del puntero de contexto del analizador XML antes de su uso [PR from private repo – Tobias Klein, @airween; fixed GHSA-jx3r-phvx-2jmj]
- fix: corregido el comportamiento de t:removeComments en caso de comentarios adyacentes [PR from private repo – @HEXER365, @airween; fixed GHSA-qrch-pjfr-9g47]
- fix: t:base64DecodeExt no gestiona los caracteres ‘-‘ y ‘_’ (URL-safe alphabet) [PR from private repo – @fzipi, @airween; fixed GHSA-4j47-8qcr-jf59]
- fix: gestión de los parámetros ‘filename*’ y del ‘filename’ duplicado en la cabecera Content-Disposition multipart; añadidas las nuevas variables MULTIPART_DUPLICATE_PART_HEADER, MULTIPART_FILENAME_CHARSET, MULTIPART_FILENAME_LANGUAGE [PR from private repo – @hnakamur, @fzipi, @theseion, @airween; fixed GHSA-5pww-8rfg-9crf]