ModSecurity < 2.5.9 is vulnerable to a remote Denial of Service (DoS)
Denegación de servicio remota en ModSecurity mediante una petición multipart/form-data manipulada.
Background
ModSecurity es el cortafuegos de aplicaciones web más extendido del mundo, con más de 15.000 usuarios. Funciona como módulo del servidor Apache, lo desarrolla Breach Security y está disponible con licencia GNU GPL y varias licencias comerciales.
Description
El procesador multipart de ModSecurity no sanea suficientemente la entrada del usuario. Un atacante puede enviar una petición POST de tipo multipart/form-data manipulada que provoca una denegación de servicio remota. El fallo está en la función multipart_get_arguments del fichero msc_multipart.c.
Business impact
Un atacante podría provocar la denegación de servicio remota de una instalación de Apache con el módulo ModSecurity 2.
Systems affected
ModSecurity entre la 2.5.5 y la 2.5.8; otras versiones podrían verse afectadas. Probado con Apache httpd 2.2.11.
Solution
Actualizar a la versión 2.5.9 de ModSecurity.
Disclosure timeline
References
The information contained within this advisory is supplied 'as-is' with no warranties or guarantees of fitness of use or otherwise. Internet Security Auditors accepts no responsibility for any damage caused by the use or misuse of this information.
Compañía con sede en España y Colombia, especializada en auditoría de aplicaciones web, seguridad de red, test de intrusión e implantación y evaluación de cumplimiento. Nuestros clientes incluyen algunas de las mayores compañías de finanzas, telecomunicaciones, seguros y TIC. Proveedor independiente de fabricante, con experiencia profunda desde 2001. Nuestro esfuerzo en I+D incluye investigación de vulnerabilidades, colaboración en proyectos abiertos de seguridad, whitepapers y participación en eventos del sector.
¿Quieres que revisemos tu producto?
Contacta con nosotros¿Necesitas una auditoría de seguridad?
Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.