mod_security v2.9.15 добавлен в репозиторий CodeIT. ModSecurity — модуль межсетевого экрана веб-приложений (WAF) для Apache httpd. Пакеты собраны для RHEL, CentOS, AlmaLinux, Rocky Linux и Oracle Linux 8 и 9, а также для Ubuntu 22.04 и 24.04.
Это обновление устраняет уязвимости. Рекомендуется обновиться.
Основные изменения:
- fix(iis): исправлено перепутанное именование CustomAction ID для InstallModule32/64 [Issue #3603 — @fzipi]
Исправленные уязвимости:
- fix: t:htmlEntityDecode не декодирует все ASCII именованные HTML-сущности [PR from private repo — @marcstern, @fzipi, @airween; fixed GHSA-cxqf-vgrr-xxrv]
- fix: используется безопасное значение для проверки хоста при загрузке удалённых правил [PR from private repo — @amitu314, @airween; fixed GHSA-2vqc-36qp-ccmw]
- fix: добавлена проверка указателя контекста XML-парсера перед использованием [PR from private repo — Tobias Klein, @airween; fixed GHSA-jx3r-phvx-2jmj]
- fix: исправлено поведение t:removeComments в случае соседних комментариев [PR from private repo — @HEXER365, @airween; fixed GHSA-qrch-pjfr-9g47]
- fix: t:base64DecodeExt не обрабатывает символы ‘-‘ и ‘_’ (URL-safe alphabet) [PR from private repo — @fzipi, @airween; fixed GHSA-4j47-8qcr-jf59]
- fix: обработка параметров ‘filename*’ и дублирующегося ‘filename’ в заголовке Content-Disposition multipart; добавлены новые переменные MULTIPART_DUPLICATE_PART_HEADER, MULTIPART_FILENAME_CHARSET, MULTIPART_FILENAME_LANGUAGE [PR from private repo — @hnakamur, @fzipi, @theseion, @airween; fixed GHSA-5pww-8rfg-9crf]