🇰🇷 한글 설명
OWASP CRS의 파일 업로드 필터링 규칙이 파일명의 공백을 정규화하지 않아 발생하는 취약점으로, 공격자가 'photo. php' 같이 확장자 앞에 공백을 삽입하여 .php, .phar, .jsp 등 위험한 파일 형식의 업로드를 우회할 수 있습니다. 버전 3.3.9 및 4.25.0 미만의 OWASP CRS가 영향을 받으며, 업데이트된 버전에서 패치되었습니다.
💡 쉬운 설명
웹사이트 보안 도구(OWASP CRS)가 파일명의 공백을 무시하지 않아서, 파일명에 공백을 넣으면 위험한 프로그램 파일을 업로드할 수 있습니다. 예를 들어 '사진. php'처럼 업로드하면 실제로는 위험한 php 파일이 올라갑니다.
🇺🇸 원문 (English)
The OWASP core rule set (CRS) is a set of generic attack detection rules for use with compatible web application firewalls. Prior to versions 3.3.9 and 4.25.0, a bypass was identified in OWASP CRS that allows uploading files with dangerous extensions (.php, .phar, .jsp, .jspx) by inserting whitespace padding in the filename (e.g. photo. php or shell.jsp ). The affected rules do not normalize whitespace before evaluating the file extension regex, so the dot-extension check fails to match. This issue has been patched in versions 3.3.9 and 4.25.0.
📍 영향받는 시스템
OWASP CRS (Core Rule Set) 버전 3.3.9 미만, 4.25.0 미만
⚔️ 공격 벡터
파일 업로드 시 확장자 앞에 공백 삽입하여 필터 우회 (예: 'shell. php', 'payload. jsp')
🛡️ 대응 방법
OWASP CRS를 버전 3.3.9 또는 4.25.0 이상으로 업그레이드
🔧 검증 코드
OWASP CRS 버전이 3.3.9 이상 또는 4.25.0 이상이면 패치됨. 낮은 버전이 반환되면 업그레이드 필요
modsecurity_config_path=/etc/modsecurity/rules && grep -r 'SecRule' $modsecurity_config_path 2>/dev/null | grep -i 'crs.*3\.[3-9]\|crs.*4\.[2-5]' | head -1