mod_security_crs v4.25.2 ha sido añadido al repositorio de CodeIT. mod_security_crs es el conjunto de reglas OWASP CRS para ModSecurity. Los paquetes se han compilado para RHEL, CentOS, AlmaLinux, Rocky Linux y Oracle Linux 8 y 9, y para Ubuntu 22.04 y 24.04.
Esta actualización corrige vulnerabilidades de seguridad. Se recomienda actualizar.
Cambios principales:
- Se ha incorporado por backport la corrección de un falso positivo para la coincidencia de la subcadena del user agent `vega` con `veganism.social` (rule 913100) (Esad Cetiner, cherry-pick de #4777)
- Se ha incorporado por backport la corrección para que `tx.crs_skip_response_analysis` también omita las reglas del cuerpo de la respuesta de la fase 4; anteriormente solo se omitían las reglas de cabecera de la fase 3 (new rule 950022) (Jozef Sudolský, cherry-pick de #4807)
- Se ha incorporado por backport la aceptación y el análisis JSON por defecto de los tipos de contenido `application/*+json` (incluidos los subtipos que contienen un `+`, como `application/vc+ld+json`) y de los tipos de contenido de AWS `application/x-amz-json-1.0`/`1.1`, de modo que estos cuerpos de solicitud JSON ya no quedan bloqueados por la allow-list de content-type ni sin inspeccionar (new rules 901360, 901370) (Felipe Zipitría, cherry-pick de #4775 y #4828)
Vulnerabilidades corregidas:
- Se ha incorporado por backport la corrección para [GHSA-575j-qr6p-9763] mediante la adición de `REQUEST_FILENAME` a los objetivos de las reglas de RCE, de modo que las cargas de command injection colocadas en la URL path se inspeccionan igual que las de `ARGS` (rules 932125-932390, except 932200, where every URL path contains the `/` it requires) (Max Leske)
- Se ha incorporado por backport la corrección para [GHSA-89h9-2j8h-9gp2] mediante la conversión a minúsculas del nombre del parámetro `charset` antes de la coincidencia, de modo que un `CHARSET=` en mayúsculas o con mezcla de mayúsculas y minúsculas en `Content-Type` ya no puede eludir la comprobación de la allow-list de charset (rule 920480) (Felipe Zipitría)
- Se ha incorporado por backport la corrección para [GHSA-qmx4-jfcv-fgww] mediante la recopilación de todos los valores de `_charset_`, de modo que una segunda parte multipart o un `_charset_` en la query-string ya no puede ocultar un charset no permitido (rule 922100) (Ervin Hegedüs)
- Se ha incorporado por backport la corrección que elimina un límite de longitud eludible en la detección de inyección SQL `(X)OR` (rule 942390) (Felipe Zipitría, cherry-pick de #4713)
- Se ha incorporado por backport la corrección para [V29-260924] mediante la tolerancia de `/` finales así como de puntos después de la extensión, de modo que el nombre de archivo cargado de PHP o JSP que termine en `/` ya no puede eludir las comprobaciones de la extensión de carga (rules 933110, 944140) (Felipe Zipitría, cherry-pick de #4815)
- Se ha formalizado la rule 932171 (Shellshock, CVE-2014-6271) en un archivo `regex-assembly` y se ha aplicado la normalización estándar de la clase de espacios en blanco `[sx0b]`; la propia detección del prefijo `json.` en ARGS_NAMES ya estaba presente en esta rama mediante una corrección no rastreada, así que se trata de un cambio de mantenibilidad/coherencia, no de una corrección funcional (partial cherry-pick de #4703)