PT-2022-8647 · Unknown+1 · Owasp-Modsecurity-Crs+2

Themiddleblue · Publicado 2022-09-02 · Atualizado 2025-08-09 · CVE-2020-22669

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Modsecurity owasp-modsecurity-crs versão 3.2.0

Descrição

A vulnerabilidade permite que invasores contornem a proteção do WAF Modsecurity utilizando caracteres de comentário e atribuições de variáveis na sintaxe SQL, possibilitando-lhes realizar ataques de injeção de SQL em aplicações web.

Recomendações

Para o Modsecurity owasp-modsecurity-crs versão 3.2.0, considere atualizar as regras para melhorar a proteção contra ataques de injeção de SQL e, como solução temporária, restrinja o acesso a operações sensíveis no banco de dados para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2020-22669

DLA-3293-1

DLA-4265-1

MGASA-2024-0070

Produtos afetados

Debian

Modsecurity

Owasp-Modsecurity-Crs

Referências · 26

• 🔥 https://github.com/coreruleset/coreruleset/pull/1793 · Exploit
• 🔥 https://github.com/SpiderLabs/owasp-modsecurity-crs/issues/1727 · Exploit
• https://github.com/coreruleset/coreruleset/commit/1a6e9e097587cecc038f1a1a76fc067c7797bbcd · Nota
• https://github.com/coreruleset/coreruleset/commit/909cab560b56f998faee88dd8a7aa9cf086d2d9f · Nota
• https://advisories.mageia.org/MGASA-2024-0070.html · Nota de Segurança
• https://lists.fedoraproject.org/archives/list/[e-mail]/thread/C4Q7DCCE37GT5ZBJOWP4NGUD4L3FAMDB · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-22669 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-22669 · Nota de Segurança
• https://osv.dev/vulnerability/MGASA-2024-0070 · Aviso do Fabricante
• https://twitter.com/Cezar_H_Linux/status/1954222014366908611 · Publicação no Twitter
• https://coreruleset.org/20210630/cve-2021-35368-crs-request-body-bypass · Nota
• https://lists.debian.org/debian-lts-announce/2025/08/msg00004.html · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-22669 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-22669 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2020-22669 · Aviso do Fabricante