遠端 Debian 11 主機上安裝的一個套件受到 dla-4488 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4488-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2026 年 2 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：modsecurity-crs 版本：3.3.4-1~deb11u2 CVE ID：CVE-2023-38199 CVE-2026-21876 Debian 錯誤：1041109 1125084

    已修復 modsecurity-crs (一組用於 ModSecurity 的一般攻擊偵測規則) 中的多個問題。

    CVE-2023-38199

        3.3.4 及之前的 Coreruleset (即 OWASP ModSecurity Core Rule Set) 在某些平台上未偵測到多個 Content-Type 要求標頭。攻擊者可能藉此使用特製的承載繞過 WAF，即 WAF 和後端應用程式之間的 Content-Type 混淆。
        若 Web 應用程式僅依賴最後一個 Content-Type 標頭，則會發生此情況。其他平台可能會拒絕其他 Content-Type 標頭或合併衝突的標頭，進而導致偵測格式錯誤的標頭。

    CVE-2026-21876

        處理具有多個部分的多部分要求時，目前的規則 922110 有一個錯誤。當鏈結中的第一個規則反覆使用集合 (例如 `MULTIPART_PART_HEADERS`) 時，每次反覆覆寫擷取變數 (`TX:0`、`TX:1`)。只有最後擷取的值可用於鏈結規則，這表示若後續部分具有合法字元集，則可能遺漏較早部分中的惡意字元集。

    針對 Debian 11 bullseye，已在 3.3.4-1~deb11u2 版本中修復這些問題。

    建議您升級 modsecurity-crs 套件。

    如需有關 modsecurity-crs 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/modsecurity-crs

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 11 主机上安装的多个程序包受到 dla-4488 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4488-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2026 年 2 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：modsecurity-crs 版本：3.3.4-1~deb11u2 CVE ID：CVE-2023-38199 CVE-2026-21876 Debian 缺陷：1041109 1125084

    已修复 modsecurity-crs（一组与 ModSecurity 配合使用的通用攻击检测规则）中的多个问题。

    CVE-2023-38199

        Coreruleset（又称为 OWASP ModSecurity 核心规则集） 3.3.4 及之前版本在某些平台上不检测多种 Content-Type 请求标头。这可能会允许攻击者通过构建的负载绕过 WAF，即 WAF 和后端应用程序之间出现 Content-Type 混淆。
        仅当 Web 应用程序依赖最后一个 Content-Type 标头时，才会发生这种情况。其他平台可能会拒绝其他 Content-Type 标头或合并存在冲突的标头，从而导致检测结果为畸形标头。

    CVE-2026-21876

        在处理具有多个部分的多部分请求时，当前规则 922110 存在一个缺陷。当链中的第一条规则在集合中迭代时（如 `MULTIPART_PART_HEADERS`），每次迭代都会覆盖捕获变量（`TX:0`、`TX:1`）。只有上次捕获的值可用于链接规则，这意味着如果后续部分具有合法的字符集，则之前部分中的恶意字符集可能会被遗漏掉。

    对于 Debian 11 bullseye，已在版本 3.3.4-1~deb11u2 中修复这些问题。

    我们建议您升级 modsecurity-crs 程序包。

    如需了解 modsecurity-crs 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/modsecurity-crs

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - coreruleset（又称为 OWASP ModSecurity 核心规则集） 3.3.4 及之前版本在某些平台上不检测多种 Content-Type 请求标头。这可能会允许攻击者通过构建的负载绕过 WAF，即 WAF 和后端应用程序之间出现 Content-Type 混淆。仅当 Web 应用程序依赖最后一个 Content-Type 标头时，才会发生这种情况。其他平台可能会拒绝其他 Content-Type 标头或合并冲突的标头从而导致检测为畸形标头。 (CVE-2023-38199)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端主機上安裝的 Siemens SINEC NMS 版本比 2.0.1.0 舊。因此，它受到 SSA-943925 公告中提及的多個弱點影響。

  - 3.3.4 及之前的 coreruleset (即 OWASP ModSecurity Core Rule Set) 在某些平台上未偵測到多個 Content-Type 要求標頭。攻擊者可能藉此使用特製的承載繞過 WAF，即 WAF 和後端應用程式之間的 Content-Type 混淆。若 Web 應用程式僅依賴最後一個 Content-Type 標頭，則會發生此情況。其他平台可能會拒絕其他 Content-Type 標頭或合併衝突的標頭，進而導致偵測格式錯誤的標頭。
    (CVE-2023-38199)

  - Apache HTTP Server 2.4.0 至 2.4.55 版上的某些 mod_proxy 組態允許 HTTP 要求走私攻擊。當 mod_proxy 與某種形式的 RewriteRule 或 ProxyPassMatch 一起啟用時，組態會受到影響，其中非特定模式符合使用者提供的要求目標 (URL) 資料的某些部分，然後使用變量替換重新插入代理請求目標。示例如下：RewriteRule ^/here/(.*) http://example.com:8080/elsewhere?$1; 上的 RewriteEngine；[P] ProxyPassReverse /here/ http://example.com:8080/ 要求分割/走私可導致繞過 Proxy 伺服器中的存取控制、將非預定 URL 代理至現有的原始伺服器，以及快取毒害。建議使用者至少更新至 Apache HTTP Server 的 2.4.56 版。(CVE-2023-25690)

  - 使用「Module._load()」可繞過原則機制，並針對特定模組要求 policy.json 定義之外的模組。此弱點會影響在下列所有有效版本系列中使用實驗性原則機制的所有使用者：16.x、18.x 和 20.x。請注意，在此 CVE 發布時，此原則為 Node.js 的實驗性功能。(CVE-2023-32002)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Siemens SINEC NMS 版本低于 2.0.1.0。因此，如公告 SSA-943925 所述，其会受到多个漏洞影响。

  - coreruleset（又称为 OWASP ModSecurity 核心规则集） 3.3.4 及之前版本在某些平台上不检测多种 Content-Type 请求标头。这可能会允许攻击者通过构建的负载绕过 WAF，即 WAF 和后端应用程序之间出现 Content-Type 混淆。仅当 Web 应用程序依赖最后一个 Content-Type 标头时，才会发生这种情况。其他平台可能会拒绝其他 Content-Type 标头或合并存在冲突的标头，从而导致检测结果为畸形标头。
    (CVE-2023-38199)

  Apache HTTP Server 2.4.0 至 2.4.55 版中的某些 mod_proxy 配置可造成 HTTP 请求走私攻击。当 mod_proxy 与某种形式的 RewriteRule 或 ProxyPassMatch 一起启用时，配置会受到影响，其中非特定模式会匹配用户提供的请求目标 (URL) 数据的某个部分，然后使用变量替换重新插入代理请求目标。例如，RewriteRule ^/here/(.*) http://example.com:8080/elsewhere?$1; 上的 RewriteEngine；[P] ProxyPassReverse /here/ http://example.com:8080/ 请求拆分/走私可导致绕过代理服务器中的访问控制、将非预期的 URL 代理到现有源服务器以及缓存中毒。建议用户至少更新到 Apache HTTP Server 的 2.4.56 版。(CVE-2023-25690)

  - 使用“Module._load()”可绕过策略机制，并且需要给定模块的 policy.json 定义之外的模块。此漏洞会影响在所有以下可用的稳定版本系列中使用实验性策略机制的所有用户：16.x、18.x 和 20.x。请注意，发布此 CVE 时，该策略是 Node.js 的一项实验性功能。(CVE-2023-32002)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 3.3.4 及之前的 coreruleset (即 OWASP ModSecurity Core Rule Set) 在某些平台上未偵測到多個 Content-Type 要求標頭。攻擊者可能藉此使用特製的承載繞過 WAF，即 WAF 和後端應用程式之間的 Content-Type 混淆。若 Web 應用程式僅依賴最後一個 Content-Type 標頭，則會發生此情況。其他平台可能會拒絕其他 Content-Type 標頭或合併衝突的標頭進而導致偵測為格式錯誤的標頭。 (CVE-2023-38199)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

リモートの Debian 11 ホストには、dla-4488 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4488-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2026 年 2 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : modsecurity-crs バージョン : 3.3.4-1~deb11u2 CVE ID : CVE-2023-38199 CVE-2026-21876 Debian バグ : 1041109 1125084

    ModSecurity で使用する汎用攻撃検知ルールのセットである modsecurity-crs における複数の問題が修正されました。

    CVE-2023-38199

        - 3.3.4 までの Coreruleset (別名 OWASP ModSecurity コアルールセット) は、一部のプラットフォームで複数の Content-Type リクエストヘッダーを検出しません。これにより、攻撃者が細工されたペイロードで WAF をバイパス (別名 WAF とバックエンドアプリケーション間の Content-Type の取り違え) する可能性があります。
        これは、ウェブアプリケーションが最後の Content-Type ヘッダーのみに依存している場合に発生します。他のプラットフォームが追加の Content-Type ヘッダーを拒否したり、競合するヘッダーをマージしたりすると、無効な形式のヘッダーとして検出される可能性があります。

    CVE-2026-21876

        現在のルール 922110 では、複数のパートを含むマルチパートリクエストを処理する際にバグがあります。チェーンの最初のルールが「MULTIPART_PART_HEADERS」などのコレクション上で反復する場合、キャプチャ変数 (TX:0、TX:1) は各反復ごとに上書きされます。最後にキャプチャされた値のみが連鎖ルールで利用可能になります。これにより、後のパートに正当な charset がある場合、前のパートに含まれる悪意のある charset が見逃される可能性があります。

    Debian 11 bullseye においては、これらの問題はバージョン 3.3.4-1~deb11u2 で修正されました。

    お使いの modsecurity-crs パッケージをアップグレードすることを推奨します。

    modsecurity-crs の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/modsecurity-crs

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのホストにインストールされている Siemens SINEC NMS は、2.0.1.0 より前のバージョンです。したがって、SSA-943925 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 3.3.4 までの coreruleset (別名 OWASP ModSecurity コアルールセット) は、一部のプラットフォームで複数の Content-Type リクエストヘッダーを検出しません。これにより、攻撃者が細工されたペイロードで WAF をバイパス (別名 WAF とバックエンドアプリケーション間の Content-Type の取り違え) する可能性があります。これは、ウェブアプリケーションが最後の Content-Type ヘッダーのみに依存している場合に発生します。他のプラットフォームが追加の Content-Type ヘッダーを拒否したり、競合するヘッダーをマージしたりすると、無効な形式のヘッダーとして検出される可能性があります。
    (CVE-2023-38199)

  - Apache HTTP Server バージョン 2.4.0〜 2.4.55の一部の mod_proxy 設定では、HTTP リクエストスマグリング攻撃が可能です。mod_proxy が何らかの形式の RewriteRule または ProxyPassMatch と共に有効化され、非特定のパターンがユーザー指定のリクエストターゲット (URL) データの一部に一致し、変数置換を使用してプロキシされたリクエストターゲットに再挿入されると、設定が影響を受けます。例えば、RewriteRule ^/here/(.*) http://example.com:8080/elsewhere?$1; [P] ProxyPassReverse /here/ http://example.com:8080/ の RewriteEngine リクエストの分割 / スマグリングにより、プロキシサーバーのアクセスコントロールのバイパス、既存のオリジンサーバーへの意図しない URL のプロキシ、キャッシュポイズニングが発生する可能性があります。ユーザーは、少なくともバージョン 2.4.56 の Apache HTTP Server に更新することをお勧めします。(CVE-2023-25690)

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.3.4 までの coreruleset (別名 OWASP ModSecurity コアルールセット) は、一部のプラットフォームで複数の Content-Type リクエストヘッダーを検出しません。これにより、攻撃者が細工されたペイロードで WAF をバイパス (別名 WAF とバックエンドアプリケーション間の Content-Type の取り違え) する可能性があります。これは、ウェブアプリケーションが最後の Content-Type ヘッダーのみに依存している場合に発生します。他のプラットフォームでは、追加の Content-Type ヘッダーを拒否したり、競合するヘッダーをマージしたりして、不正な形式のヘッダーとして検出される場合があります。CVE-2023-38199

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Debian 11 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-4488 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4488-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                         Tobias Frost     February 22, 2026                             https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : modsecurity-crs     Version        : 3.3.4-1~deb11u2     CVE ID         : CVE-2023-38199 CVE-2026-21876     Debian Bug     : 1041109 1125084

    Multiple issues have been fixed in modsecurity-crs, a set of generic     attack detection rules for use with ModSecurity.

    CVE-2023-38199

        Coreruleset (aka OWASP ModSecurity Core Rule Set) through 3.3.4 does not         detect multiple Content-Type request headers on some platforms. This         might allow attackers to bypass a WAF with a crafted payload, aka         Content-Type confusion between the WAF and the backend application.
        This occurs when the web application relies on only the last         Content-Type header. Other platforms may reject the additional         Content-Type header or merge conflicting headers, leading to detection         as a malformed header.

    CVE-2026-21876

        The current rule 922110 has a bug when processing multipart requests         with multiple parts. When the first rule in a chain iterates over a         collection (like `MULTIPART_PART_HEADERS`), the capture variables         (`TX:0`, `TX:1`) get overwritten with each iteration. Only the last         captured value is available to the chained rule, which means malicious         charsets in earlier parts can be missed if a later part has a legitimate         charset.

    For Debian 11 bullseye, these problems have been fixed in version     3.3.4-1~deb11u2.

    We recommend that you upgrade your modsecurity-crs packages.

    For the detailed security status of modsecurity-crs please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/modsecurity-crs

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Siemens SINEC NMS installed on the remote host is prior to 2.0.1.0. It is, therefore, affected by multiple vulnerabilities as referenced in the SSA-943925 advisory.

  - coreruleset (aka OWASP ModSecurity Core Rule Set) through 3.3.4 does not detect multiple Content-Type     request headers on some platforms. This might allow attackers to bypass a WAF with a crafted payload,     aka Content-Type confusion between the WAF and the backend application. This occurs when the web     application relies on only the last Content-Type header. Other platforms may reject the additional     Content-Type header or merge conflicting headers, leading to detection as a malformed header.
    (CVE-2023-38199)

  - Some mod_proxy configurations on Apache HTTP Server versions 2.4.0 through 2.4.55 allow a HTTP Request     Smuggling attack. Configurations are affected when mod_proxy is enabled along with some form of     RewriteRule or ProxyPassMatch in which a non-specific pattern matches some portion of the user-supplied     request-target (URL) data and is then re-inserted into the proxied request-target using variable     substitution. For example, something like: RewriteEngine on RewriteRule ^/here/(.*)     http://example.com:8080/elsewhere?$1; [P] ProxyPassReverse /here/ http://example.com:8080/ Request     splitting/smuggling could result in bypass of access controls in the proxy server, proxying unintended     URLs to existing origin servers, and cache poisoning. Users are recommended to update to at least version     2.4.56 of Apache HTTP Server. (CVE-2023-25690)

  - The use of `Module._load()` can bypass the policy mechanism and require modules outside of the policy.json     definition for a given module. This vulnerability affects all users using the experimental policy     mechanism in all active release lines: 16.x, 18.x and, 20.x. Please note that at the time this CVE was     issued, the policy is an experimental feature of Node.js. (CVE-2023-32002)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - coreruleset (aka OWASP ModSecurity Core Rule Set) through 3.3.4 does not detect multiple Content-Type     request headers on some platforms. This might allow attackers to bypass a WAF with a crafted payload, aka     Content-Type confusion between the WAF and the backend application. This occurs when the web application     relies on only the last Content-Type header. Other platforms may reject the additional Content-Type header     or merge conflicting headers, leading to detection as a malformed header. (CVE-2023-38199)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
299744	Debian dla-4488：modsecurity-crs - 安全性更新	Nessus	Debian Local Security Checks	2026/2/22	2026/2/22	critical
299744	Debian dla-4488 : modsecurity-crs - 安全更新	Nessus	Debian Local Security Checks	2026/2/22	2026/2/22	critical
226391	Linux Distros 未修补的漏洞：CVE-2023-38199	Nessus	Misc.	2025/3/5	2026/4/28	critical
191429	Siemens SINEC NMS < V2.0 SP1 多個弱點	Nessus	Windows	2024/2/29	2025/11/5	critical
191429	Siemens SINEC NMS 2.0 以下版本的 SP1 存在多个漏洞	Nessus	Windows	2024/2/29	2025/11/5	critical
226391	Linux Distros 未修補的弱點：CVE-2023-38199	Nessus	Misc.	2025/3/5	2026/4/28	critical
299744	Debian dla-4488 : modsecurity-crs - セキュリティ更新	Nessus	Debian Local Security Checks	2026/2/22	2026/2/22	critical
191429	Siemens SINEC NMS < V2.0 SP1 の複数の脆弱性	Nessus	Windows	2024/2/29	2025/11/5	critical
226391	Linux Distros のパッチ未適用の脆弱性: CVE-2023-38199	Nessus	Misc.	2025/3/5	2026/4/28	critical
299744	Debian dla-4488 : modsecurity-crs - security update	Nessus	Debian Local Security Checks	2026/2/22	2026/2/22	critical
191429	Siemens SINEC NMS < V2.0 SP1 Multiple Vulnerabilities	Nessus	Windows	2024/2/29	2025/11/5	critical
226391	Linux Distros Unpatched Vulnerability : CVE-2023-38199	Nessus	Misc.	2025/3/5	2026/4/28	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical