CVE-2021-42717

Опубликовано: 07 дек. 2021

Источник: nvd

CVSS3: 7.5

CVSS2: 5

EPSS Низкий

Описание

ModSecurity 3.x through 3.0.5 mishandles excessively nested JSON objects. Crafted JSON objects with nesting tens-of-thousands deep could result in the web server being unable to service legitimate requests. Even a moderately large (e.g., 300KB) HTTP request can occupy one of the limited NGINX worker processes for minutes and consume almost all of the available CPU on the machine. Modsecurity 2 is similarly vulnerable: the affected versions include 2.8.0 through 2.9.4.

Ссылки

https://lists.debian.org/debian-lts-announce/2022/05/msg00042.html
Mailing List
Third Party Advisory
https://www.debian.org/security/2021/dsa-5023
Third Party Advisory
https://www.oracle.com/security-alerts/cpuapr2022.html
Patch
Third Party Advisory
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/modsecurity-dos-vulnerability-in-json-parsing-cve-2021-42717/
Exploit
Mitigation
Vendor Advisory
https://lists.debian.org/debian-lts-announce/2022/05/msg00042.html
Mailing List
Third Party Advisory
https://www.debian.org/security/2021/dsa-5023
Third Party Advisory
https://www.oracle.com/security-alerts/cpuapr2022.html
Patch
Third Party Advisory
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/modsecurity-dos-vulnerability-in-json-parsing-cve-2021-42717/
Exploit
Mitigation
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:owasp:modsecurity:*:*:*:*:*:*:*:*

Версия от 3.0.0 (включая) до 3.0.6 (исключая)

cpe:2.3:a:trustwave:modsecurity:*:*:*:*:*:*:*:*

Версия от 2.0.0 (включая) до 2.9.5 (исключая)

Конфигурация 2

Одно из

cpe:2.3:a:f5:nginx_modsecurity_waf:r24:*:*:*:*:*:*:*

cpe:2.3:a:f5:nginx_modsecurity_waf:r25:*:*:*:*:*:*:*

Конфигурация 3

Одно из

cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*

cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*

cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*

Конфигурация 4

Одно из

cpe:2.3:a:oracle:http_server:12.2.1.3.0:*:*:*:*:*:*:*

cpe:2.3:a:oracle:http_server:12.2.1.4.0:*:*:*:*:*:*:*

cpe:2.3:a:oracle:zfs_storage_appliance_kit:8.8:*:*:*:*:*:*:*

EPSS

Процентиль: 83%

0.0204

Низкий

7.5 High

CVSS3

5 Medium

CVSS2

Дефекты

CWE-674

Связанные уязвимости

CVE-2021-42717

CVSS3: 7.5

ubuntu

около 4 лет назад

CVE-2021-42717

CVSS3: 7.5

debian

около 4 лет назад

ModSecurity 3.x through 3.0.5 mishandles excessively nested JSON objec ...

GHSA-w3vf-7fpc-9fww

CVSS3: 7.5

github

около 4 лет назад

BDU:2022-00191

CVSS3: 7.5

fstec

около 4 лет назад

Уязвимость модуля Apache для усиления безопасности веб-приложений modsecurity-apache, связанная с ошибками при обработке JSON-объектов, позволяющая нарушителю вызвать отказ в обслуживании

openSUSE-SU-2023:0269-1

suse-cvrf

больше 2 лет назад

Security update for modsecurity

EPSS

Процентиль: 83%

0.0204

Низкий

7.5 High

CVSS3

5 Medium

CVSS2

Дефекты

CWE-674