rWeb application firewall is prone to multiple evasion attacks

Background

rWeb es un cortafuegos de aplicaciones web de la empresa DenyAll, utilizado para proteger las aplicaciones web frente a ataques habituales. Combina listas blancas, difíciles de configurar y mantener, y listas negras de patrones, de las que en la mayoría de las instalaciones solo se usa la predeterminada.

Description

Existen al menos dos formas de saltarse los controles de rWeb: el filtrado incorrecto de la doble codificación en algunos parámetros del protocolo HTTP, y la decodificación de los campos POST una sola vez, lo que permite evadir las comprobaciones con doble codificación. Además, si no se diseñan expresiones regulares específicas, el conjunto de filtros por defecto es insuficiente.

Business impact

El código web siempre tiene fallos de seguridad y por eso es importante contar con un cortafuegos de aplicaciones. Los distintos ataques que pueden explotarse por esta evasión tienen un impacto elevado.

Systems affected

rWeb hasta la versión 3.5-2816.

Solution

Desarrollar expresiones regulares propias que implementen la protección frente a la doble codificación que el cortafuegos no aplica por defecto.

Disclosure timeline

References

The information contained within this advisory is supplied 'as-is' with no warranties or guarantees of fitness of use or otherwise. Internet Security Auditors accepts no responsibility for any damage caused by the use or misuse of this information.