Se han revelado múltiples vulnerabilidades en OWASP ModSecurity, un firewall de aplicaciones web (WAF) de código abierto muy utilizado, que permitirían a los atacantes evadir las reglas de seguridad bajo condiciones específicas. Los fallos, identificados como CVE-2026-52761 y CVE-2026-52747, afectan a las versiones hasta la 3.0.15 y ya han sido corregidos en la versión 3.0.16.

Se han revelado múltiples vulnerabilidades en OWASP ModSecurity, un firewall de aplicaciones web (WAF) de código abierto ampliamente utilizado, que permiten a los atacantes evadir las reglas de seguridad bajo condiciones específicas.

Los fallos, identificados como CVE-2026-52761 y CVE-2026-52747, afectan a las versiones de ModSecurity hasta la 3.0.15 y han sido solucionados en la versión 3.0.16.

El primer problema, CVE-2026-52761, es un fallo de gravedad moderada que impacta la transformación utf8toUnicode en sistemas i386 (32 bits).

Esta transformación se utiliza comúnmente en las reglas de ModSecurity para normalizar la entrada antes de la inspección. Debido a un uso incorrecto del operador sizeof() en un tipo de puntero, la transformación produce una salida truncada o incorrecta en arquitecturas de 32 bits.

Específicamente, el código calcula erróneamente el tamaño de un puntero en lugar de la longitud real del búfer, lo que resulta en que solo se procesen 4 bytes en lugar del tamaño previsto.

En sistemas de 64 bits, este error pasa prácticamente desapercibido porque el tamaño del puntero (8 bytes) coincide casualmente con el tamaño del búfer esperado. Sin embargo, en sistemas i386, esto provoca transformaciones inconsistentes, lo que permite a los atacantes diseñar cargas útiles que evaden la detección.

Cualquier regla de seguridad que dependa de esta transformación puede fallar al inspeccionar entradas maliciosas, evadiendo efectivamente las protecciones del firewall.

Vulnerabilidades de ModSecurity

Los investigadores han confirmado que este problema surge de un manejo inadecuado del búfer en múltiples ubicaciones dentro del código de transformación. La solución temporal recomendada es evitar el uso de ModSecurity en sistemas i386 hasta que los parches se apliquen completamente.

La segunda vulnerabilidad, CVE-2026-52747, es más grave y ha sido calificada como alta debido a su impacto directo en la integridad de la inspección de solicitudes.

Este fallo reside en el analizador (parser) de multipart/form-data dentro de libmodsecurity. Ocurre al procesar campos de formulario que no son archivos y que contienen saltos de línea embebidos, como las secuencias de retorno de carro y avance de línea.

En lugar de preservar estos saltos de línea, el analizador los elimina silenciosamente antes de pasar los datos a las reglas de ModSecurity.

Como resultado, una carga útil como “A\r\nB” o “A\nB” se transforma en “AB” durante la inspección. Sin embargo, las aplicaciones backend suelen conservar el formato original, creando un desajuste entre lo que ve el firewall y lo que procesa la aplicación.

Esta discrepancia permite a los atacantes ocultar entradas maliciosas que dependen de los saltos de línea, como ciertas cargas de inyección o exploits específicos del analizador.

Análisis posteriores muestran que el problema es causado por un error de lógica: los datos almacenados previamente en el búfer se sobrescriben en lugar de añadirse durante el análisis multipart.

Aún más preocupante es que los mecanismos de validación estricta integrados de ModSecurity no detectan esta anomalía. Los indicadores clave, como MULTIPART_STRICT_ERROR, permanecen desactivados, permitiendo que la entrada maliciosa pase sin activar alertas.

Una demostración de prueba de concepto confirmó que tanto los caracteres de retorno de carro como los de nueva línea se eliminan consistentemente mientras que las comprobaciones de validación permanecen limpias.

Esto hace que la vulnerabilidad sea particularmente peligrosa en despliegues reales donde ModSecurity actúa como un límite de seguridad frente a las aplicaciones web.

Los expertos en seguridad recomiendan actualizar a la versión 3.0.16 inmediatamente, la cual incluye correcciones para ambas vulnerabilidades.

Además, debes revisar los conjuntos de reglas que dependen de transformaciones de entrada y análisis multipart para asegurarte de que se comporten como se espera bajo diferentes condiciones de entrada.

Estas vulnerabilidades resaltan los riesgos de las inconsistencias en los analizadores y los errores específicos de arquitectura en las herramientas de seguridad. Incluso las defensas ampliamente confiables como ModSecurity pueden introducir puntos ciegos si el manejo de las entradas no se valida cuidadosamente en todos los entornos.

Fuentes:
https://cybersecuritynews.com/modsecurity-vulnerabilities/