Se han revelado múltiples vulnerabilidades en OWASP ModSecurity que podrían permitir a los atacantes evadir las protecciones del firewall de aplicaciones web (WAF). Estas fallas aprovechan diferencias en el análisis de datos, entradas malformadas, errores de transformación y límites de recursos en las funciones que inspeccionan las solicitudes y respuestas HTTP, poniendo en riesgo a las organizaciones que dependen de estas reglas para detectar cargas maliciosas.

Múltiples vulnerabilidades recientemente reveladas en OWASP ModSecurity podrían permitir que los atacantes evadan las protecciones del firewall de aplicaciones web explotando diferencias de análisis, entradas malformadas, errores de transformación y límites de recursos.

Los fallos afectan a funciones utilizadas comúnmente para inspeccionar solicitudes y respuestas HTTP, lo que genera preocupación para las organizaciones que confían en las reglas de ModSecurity para detectar cargas maliciosas.

Uno de los problemas más graves, rastreado como GHSA-5pww-8rfg-9crf, involucra el parámetro filename* de RFC 2231 en las cargas HTTP multipart.

ModSecurity aplica reglas de validación estrictas a los nombres de archivo, pero los backends de aplicaciones compatibles con RFC escritos en Go, Python, Node.js o Java pueden interpretar los valores codificados de filename* de manera diferente. Un atacante podría diseñar una solicitud de archivo cargado que el backend acepte mientras evita las reglas de inspección de nombres de archivo de ModSecurity.

Este desajuste puede crear una brecha peligrosa entre el firewall y la aplicación protegida. Las reglas de seguridad pueden bloquear extensiones sospechosas, cadenas de salto de directorio o nombres de archivo maliciosos en campos estándar.

Mientras tanto, el backend procesa el valor codificado según RFC 2231. El problema tiene una calificación de severidad Alta porque puede permitir la carga de un archivo malicioso o evadir los controles de seguridad diseñados en torno a la validación de nombres de archivo multipart.

Vulnerabilidades de ModSecurity

Otra vulnerabilidad de severidad Moderada, GHSA-4j47-8qcr-jf59, afecta a la transformación t:base64DecodeExt. Cuando la transformación encuentra un grupo de relleno Base64 malformado, descarta silenciosamente la salida decodificada completa.

Como resultado, las reglas de ModSecurity que dependen del valor transformado pueden ver una cadena vacía o incompleta y no coincidir con una carga que, de otro modo, sería maliciosa.

Los atacantes suelen codificar inyecciones SQL, cross-site scripting, inyección de comandos o contenido de web shells para evadir el filtrado basado en firmas.

Si un firewall decodifica los datos incorrectamente y deja de inspeccionarlos, puede evadir una regla diseñada para identificar cadenas peligrosas. Este fallo ilustra por qué el manejo de datos malformados es tan importante como el procesamiento de entradas normales en los firewalls de aplicaciones web.

Un tercer fallo, GHSA-qrch-pjfr-9g47, afecta a la transformación removeComments. Esta función está destinada a eliminar comentarios de una entrada antes de que sea verificada con las reglas de seguridad.

Sin embargo, es posible que los comentarios adyacentes no se eliminen correctamente, lo que permite a un atacante dividir palabras clave sospechosas con sintaxis de comentarios y, potencialmente, evadir la coincidencia de patrones.

Por ejemplo, una carga puede insertar comentarios entre fragmentos de un comando peligroso o una sentencia SQL. Si ModSecurity no logra normalizar la entrada completa, es posible que la solicitud no coincida con una regla de bloqueo, aunque el backend reconstruya o acepte la expresión maliciosa.

Otros avisos incluyen una evasión de inspección del cuerpo de la respuesta de severidad Alta, un fallo de desreferencia de puntero en el procesador del cuerpo de solicitud XML, debilidades en el análisis de datos de formulario multipart y un problema donde los errores de límite de coincidencia de PCRE2 @rxGlobal se tratan como si no hubiera coincidencia.

En conjunto, las vulnerabilidades muestran que los motores de inspección pueden fallar cuando su comportamiento de análisis difiere de las aplicaciones que protegen.

Debes revisar las notas de lanzamiento y avisos de seguridad de ModSecurity afectados, actualizar a las versiones parcheadas a medida que estén disponibles y probar las reglas contra cargas codificadas, malformadas, multipart y ofuscadas con comentarios. También deberías utilizar defensas en capas en lugar de depender únicamente de las firmas del WAF para la seguridad de tu aplicación.

Fuentes:
https://cybersecuritynews.com/modsecurity-vulnerabilities-bypass/