2023-0196: ModSecurity: Zwei Schwachstellen ermöglichen das Umgehen von Sicherheitsvorkehrungen

Historie:

Version 1 (2023-01-27 10:56): Neues Advisory
Version 2 (2023-02-09 14:51): Für SUSE CaaS Platform 4.0, SUSE Enterprise Storage 6, 7 und 7.1, SUSE Linux Enterprise High Performance Computing 15 SP1 LTSS, 15 SP2 LTSS, 15 SP3 ESPOS / LTSS und 15 SP4, SUSE Linux Enterprise Module for Server Applications 15 SP4, SUSE Linux Enterprise Realtime Extension 15 SP3, SUSE Linux Enterprise Server 12 SP2 BCL, 12 SP4 LTSS, 12 SP5, 15 SP1 LTSS, 15 SP2 LTSS, 15 SP3 LTSS und 15 SP4, SUSE Linux Enterprise Server for SAP Applications 12 SP4, 15 SP1, 15 SP2, 15 SP3 und 15 SP4, SUSE Manager Proxy 4.2 und 4.3, SUSE Manager Retail Branch Server 4.2 und 4.3, SUSE Manager Server 4.2 und 4.3, SUSE OpenStack Cloud 9 und SUSE OpenStack Cloud Crowbar 9 sowie openSUSE Leap 15.4 stehen Sicherheitsupdates für 'apache2-mod_security2' bereit, um die Schwachstelle CVE-2022-48279 zu beheben.
Version 3 (2023-02-16 09:56): Für SUSE Linux Enterprise High Performance Computing, SUSE Linux Enterprise Module for Server Applications, SUSE Linux Enterprise Server und SUSE Linux Enterprise Server for SAP Applications jeweils in Version 15 SP4, SUSE Manager Proxy, SUSE Manager Retail Branch Server und SUSE Manager Server jeweils in Version 4.3 sowie openSUSE Leap 15.4 stehen Sicherheitsupdates bereit, um die Schwachstelle CVE-2023-24021 zu beheben.
Version 4 (2023-02-20 09:09): Für SUSE CaaS Platform 4.0, SUSE Enterprise Storage 7 und 7.1, SUSE Linux Enterprise High Performance Computing 15 SP1 LTSS, 15 SP2 LTSS und 15 SP3 ESPOS / LTSS, SUSE Linux Enterprise Realtime Extension 15 SP3, SUSE Linux Enterprise Server 15 SP1 LTSS, 15 SP2 LTSS und 15 SP3 LTSS, SUSE Linux Enterprise Server for SAP 15 SP1, 15 SP2 und 15 SP3, SUSE Manager Proxy 4.2, SUSE Manager Retail Branch Server 4.2 und SUSE Manager Server 4.2 stehen Sicherheitsupdates bereit, um die Schwachstelle CVE-2023-24021 zu beheben.
Version 5 (2023-04-14 10:08): Für Fedora 36 und 37 stehen Sicherheitsupdates in Form von 'mod_security-2.9.7-1'-Paketen im Status 'testing' bereit, um die Schwachstellen zu beheben. Die betroffene Software wird damit auf Version 2.9.7 aktualisiert.

Betroffene Software

Server

Betroffene Plattformen

Netzwerk
Cloud
Linux

Beschreibung:

Ein Angreifer kann zwei Schwachstellen aus der Ferne ausnutzen, um Sicherheitsvorkehrungen zu umgehen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Für Debian 10 Buster (LTS) steht ein Sicherheitsupdate für 'modsecurity-apache' in Version 2.9.3-1+deb10u2 bereit, um die Schwachstellen zu beheben.

Schwachstellen:

CVE-2022-48279

Schwachstelle in ModSecurity ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2023-24021