Qualys 漏洞及恶意软件研究实验室在 ModSecurity（Apache webserver 的一种安全模块）中发现一个漏洞。在“Content:Disposition: attachment”和“Content-Type: multipart”都存在于 HTTP 标头的情况下，此漏洞可允许攻击者通过正确构建的 HTML 文档绕过策略并执行跨站脚本 (XSS) 攻击。

- 此程序包经过彻底检查，已更新到 2.7.5。

- ruleset 更新到 2.2.8-0-g0f07cbb。

- mod_security2 专用的新配置框架：按照根据 /etc/apache2/conf.d/mod_security2.conf 中的建议进行设置，/etc/apache2/conf.d/mod_security2.conf 先加载 /usr/share/apache2-mod_security2/rules/modsecurity_crs_1 0_setup.conf，再加载 /etc/apache2/mod_security2.d/*.conf，配置起点是 /etc/apache2/conf.d/mod_security2.conf

- !!! 请注意，要使 mod_security2 运行，必须具有 mod_unique_id！

- modsecurity-apache_2.7.5-build_fix_pcre.diff 更改了错误的链接器参数，可阻止共享对象中的 rpath。

- 补丁修复了以下缺陷：

- CVE-2009-5031、CVE-2012-2751 [bnc#768293] 请求参数处理

- [bnc#768293] 多部分绕过，次要威胁

- CVE-2013-1915 [bnc#813190] XML 外部实体漏洞

- CVE-2012-4528 [bnc#789393] 规则绕过

- CVE-2013-2765 [bnc#822664] 空指针取消引用崩溃

- 从 2.5.9 到 2.7.5 的新特色，仅限重大更改：

- GPLv2 被 Apache 许可证 v2 替换

- 规则不再是源 tarball 的一部分，但保持在外部上游，也包含在此程序包中。

- 文档外部化到 wiki 中。程序包包含 html 形式的常见问题及解答和参考手册。

- 重新命名了指令中实际是指哈希的“加密”一词。有关详细信息，请参阅 CHANGES 文件。

- 新的指令 SecXmlExternalEntity，默认关闭

- 修复了记录时 s390x 上的字节转换问题。

- 修复了 Coverity 扫描程序发现的许多小问题

- 更新了参考手册

- 修复了对某些时区进行记录时的时间计算错误。

- 用更细的粒度替换用于请求/应答阶段测量的时间测量机制。（保留秒表以便兼容。）

- Cookie 解析器内存泄漏修复

- 修复了对多部分 Content-Disposition 标头中引用字符串的解析。

- SDBM 死锁修复

- @rsub 内存泄漏修复

- Cookie 分隔符代码改进

- 生成错误补丁

- 编译时间选项 --enable-htaccess-config (set)

已在 apache-mod_security 中发现并修正了多种漏洞：

2.6.6 之前的 ModSecurity 与 PHP 一起使用时，未正确处理具有 multipart/form-data Content-Type 标头的请求中不在 Content-Disposition 字段中请求参数值开头的单引号，这允许远程攻击者绕过过滤规则而执行其他攻击，例如跨站脚本 (XSS) 攻击。注意：存在此漏洞的原因是对 CVE-2009-5031 的修复不完整 (CVE-2012-2751)。

ModSecurity <= 2.6.8 容易受到多部分/无效部分规则集绕过的攻击，该问题已在 2.7.0（2012 年 10 月 16 日发布）中修复 (CVE-2012-4528)。

更新后的程序包已进行修补，以修正这些问题。

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

  - 2.6.6 之前的 ModSecurity 与 PHP 一起使用时，未正确处理具有 multipart/form-data Content-Type 标头的请求中不在 Content-Disposition 字段中请求参数值开头的单引号，这允许远程攻击者绕过过滤规则而执行其他攻击，例如跨站脚本 (XSS) 攻击。注意：存在此漏洞的原因是未完整修复 CVE-2009-5031。(CVE-2012-2751)

  - 2.7.3 之前的 ModSecurity 允许远程攻击者通过 XML 外部实体以及实体引用读取任意文件、发送 HTTP 请求到 Intranet 服务器或造成拒绝服务（CPU 和内存消耗），又称为 XML 外部实体 (XXE) 漏洞。(CVE-2013-1915)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
59825	Debian DSA-2506-1：libapache-mod-security - ModSecurity 绕过	Nessus	Debian Local Security Checks	2012/7/3	2021/1/11	medium
75113	openSUSE 安全更新：apache2-mod_security2 (openSUSE-SU-2013:1331-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
63331	Mandriva Linux 安全公告：apache-mod_security (MDVSA-2012:182)	Nessus	Mandriva Local Security Checks	2012/12/24	2021/1/6	medium
75112	openSUSE 安全更新：apache2-mod_security2 (openSUSE-SU-2013:1336-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
80704	Oracle Solaris 第三方修补程序更新：modsecurity (cve_2012_2751_improper_input)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	high

检测

插件搜索

medium

high

medium

high

high