mod_security是经常与PHP结合使用的Web应用防火墙。
mod_security在处理特定的HTTP数据时存在漏洞,远程攻击者可能利用此漏洞绕过某些安全限制。
在接收到请求后mod_security会将其解析成为Web应用参数。由于解析入站数据的方式遵循RFC中所定义的规则而不一定是Perl、Python、Java或PHP中的HTTP请求解析器所兼容的方式,因此如果RFC与实际实现方式不匹配时可能存在一些限制绕过漏洞。
其中一种不匹配情况是处理application/x-www-form-urlencoded内容类型的POST数据中ASCIIZ字节的方式。由于mod_security将这种类似的POST数据处理为C字符串,因此不会对第一个ASCIIZ字节后的数据进行任何处理,因为mod_security认为这已是数据的尽头。这允许攻击者轻易的绕过规则限制,攻击受保护的站点。
Breach Security mod_security <= 2.1.0
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:
<a href="http://www.modsecurity.org/index.php" target="_blank">http://www.modsecurity.org/index.php</a>
暂无评论