OWASP ModSecurity Core Rule Set (CRS) подвержен частичному обходу набора правил путем отправки специально созданного поля заголовка HTTP Co…

OWASP ModSecurity Core Rule Set (CRS) подвержен частичному обходу набора правил путем отправки специально созданного поля заголовка HTTP Content-Type, указывающего несколько схем кодирования символов. Уязвимый бэкэнд потенциально может быть использован путем объявления нескольких имен Content-Type "charset" и, следовательно, обхода настраиваемого списка разрешенных "charset" заголовка CRS Content-Type. Закодированная полезная нагрузка может обойти обнаружение CRS таким образом и впоследствии может быть декодирована бэкэндом. Устаревшие версии CRS 3.0.x и 3.1.x затронуты, а также текущие поддерживаемые версии 3.2.1 и 3.3.2. Интеграторам и пользователям рекомендуется перейти на версии 3.2.2 и 3.3.3 соответственно.