GHSA-295r-7p88: Multipart解析器绕过漏洞分析(CVE-2024-21747)

Multipart form-data parser silently strips embedded line breaks from form-field values, enabling request-body inspection bypass 漏洞概述 漏洞名称: Multipart form-data parser silently strips embedded line breaks from form-field values, enabling request-body inspection bypass 漏洞编号: GHSA-295r-7p88 发布日期: 2024年1月25日 严重程度: 高 (8.6/10) CVSS v3 基础指标: - 攻击向量: 网络 - 攻击复杂度: 低 - 所需权限: 无 - 用户交互: 无 - 范围: 已改变 - 机密性: 无 - 完整性: 高 - 可用性: 无 影响范围 受影响版本: <= v3.0.15 修复版本: v3.0.16 CVE ID: CVE-2024-21747 修复方案 修复版本: v3.0.16 修复代码: POC代码 观察输出 清理 最终重新检查 在起草后，上述编译和运行命令从仓库根目录重新运行，并产生了相同的 输出。 影响 ModSecurity 通常作为 HTTP 客户端和后端应用程序之间的次要安全网关。在默认/推荐设置中，请求体访问被启用，multipart/form-data 请求被解析为 / 进行阶段 2 规则检查。由于嵌入的字段行换行符在规则评估之前被静默剥离，规则可以检查与应用程序接收到的不同的值。 这可能会绕过检测或阻止规则，其中行换行符在语义上很重要，例如解析敏感负载、多行文件对象或依赖于匹配分隔符的字符串的请求。问题特别相关，因为此漏洞会破坏严格 multipart 验证规则，这些规则不检测差异： 、 和 在证明中保持为 0。 证明不演示内存损坏、数据泄露或服务拒绝。确认的安全影响是请求体检查的完整性：规则可见值可能与后端可见值不同。 建议的修复 在追加表单数据块时，在 分支中，在追加当前缓冲区后追加保留字节，而不是覆盖目标字符串，例如： 添加回归测试，用于包含嵌入 和 的多部分表单字段。测试应断言 保留行换行符，并且严格 multipart 验证规则保持不变。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

GHSA-295r-7p88: Multipart解析器绕过漏洞分析(CVE-2024-21747)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

GHSA-295r-7p88: Multipart解析器绕过漏洞分析(CVE-2024-21747)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！