CVE-2022-39958 in ModSecurity Core Rule Set
Resumen
por MITRE • 2022-09-20
OWASP ModSecurity Core Rule Set (CRS) esta afectado por una omisión del cuerpo de respuesta para exfiltrar secuencialmente secciones pequeñas e indetectables de datos mediante el envío repetido de un campo de encabezado HTTP Range con un pequeño rango de bytes. Un recurso restringido, cuyo acceso sería normalmente detectado, puede ser exfiltrado desde el backend, a pesar de estar protegido por un firewall de aplicaciones web que usa CRS. Las subsecciones cortas de un recurso restringido pueden omitir las técnicas de comparación de patrones y permitir un acceso no detectado. Las versiones heredadas de CRS 3.0.x y 3.1.x están afectadas, así como las versiones 3.2.1 y 3.3.2 actualmente soportadas. Es recomendado a integradores y usuarios actualizar a versiones 3.2.2 y 3.3.3 respectivamente y que configuren un nivel de paranoia de CRS de 3 o superior
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.