🇰🇷 한글 설명
ModSecurity의 t:removeComments 변환 함수에 결함이 있어, 인접한 주석 종료 문자 직후의 문자를 재평가하지 않고 복사합니다. 이로 인해 후속 주석이 변환 결과에 남을 수 있어 주석 제거에 의존하는 규칙이 인라인 주석 난독화로 우회될 수 있습니다. 또한 주석 종료자가 입력의 마지막 내용일 때 입력 버퍼 범위를 넘어 1바이트를 읽는 문제가 있으며, 2.9.15 및 3.0.17에서 수정되었습니다.
💡 쉬운 설명
웹 방화벽이 공격 코드 사이에 끼워 넣은 '숨김 주석'을 제대로 지우지 못해서, 공격 문장을 가리고 차단을 피해 갈 수 있는 문제입니다. 방화벽 프로그램을 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx. Prior to 2.9.15 and 3.0.17, msre_fn_removeComments_execute in apache2/re_tfns.c and inplace() in src/actions/transformations/remove_comments.cc implement t:removeComments by copying the character immediately after a comment terminator without re-evaluating it. Adjacent comments can therefore leave a later comment in the transformed value, allowing inline-comment obfuscation to bypass rules that depend on comment stripping. When a comment terminator is the final content, the same copy reads one byte beyond the input buffer. This issue is fixed in versions 2.9.15 and 3.0.17.
📍 영향받는 시스템
ModSecurity 2.9.15 미만 및 3.0.17 미만 버전 (Apache, IIS, Nginx 연동 환경)
⚔️ 공격 벡터
공격자가 SQL 등 공격 구문에 인라인 주석을 중첩해 삽입하여 주석 제거 규칙을 우회하고 WAF 탐지를 회피합니다.
🛡️ 대응 방법
ModSecurity를 2.9.15 이상 또는 3.0.17 이상으로 업그레이드합니다.
🔧 검증 코드
출력된 설치 버전이 2.9.15 또는 3.0.17 미만이면 취약하므로 업그레이드가 필요하고, 패키지가 없으면 ModSecurity가 설치되어 있지 않은 것입니다.
dpkg -l modsecurity 2>/dev/null | grep -i modsecurity; rpm -q modsecurity 2>/dev/null; modsecurity -v 2>/dev/null