ModSecurity: Vulnerabilidade DoS Corrigida

A equipe de desenvolvimento por trás da aplicação web de firewall de código aberto ModSecurity acaba de liberar uma atualização que corrige uma vulnerabilidade que poderia ser explorada por atacantes para quebrar o funcionamento do próprio firewall. Utilizando uma requisição HTTP manipulada para executar a ação forceRequestBodyVariable com um conteúdo desconhecido, resultava na ausência de referência de um de ponteiro nulo.


O problema pode ser corrigido com a atualização da aplicação para a versão 2.7.4, que também corrige um número razoável de outros bugs e utiliza a libinjection para identificar ataques do tipo SQL injection. Os desenvolvedores também anunciaram que o porte para nginx agora já possui o status de versão estável. Younes Jaadi, o pesquisador que descobriu a vulnerabilidade no ModSecurity postou maiores detalhes sobre essa exploração, sendo alocada o identificador CVE-2013-2765. Jaaidi também publicou um código prova-de-conceito para o exploit no GitHub.

Saiba Mais:

- Heise Online: DoS vulnerability in ModSecurity fixed - Update (em Inglês)