ModSecurity – IoT OT Security News

ModSecurity WAF の脆弱性 CVE-2025-52891：DoS の可能性と未パッチの状況

Critical ModSecurity WAF Vulnerability Allows Denial of Service via Empty XML Tags

2025/07/03 CyberSecurityNews — ModSecurity Web Application Firewall (WAF) エンジンに新たに発見されたサービス拒否 (DoS) 脆弱性が、セキュリティ専門家たちの間で大きな懸念となっている。この脆弱性 CVE-2025-52891 は、空のタグを含む XML リクエストを処理することでトリガーされ、サービス中断へといたる可能性がある。影響を受けるのは mod_security2 のバージョン 2.9.8／2.9.9／2.9.10 だが、管理者により SecParseXmlIntoArgs 機能が有効化されている場合に限られる。

ModSecurity WAF の脆弱性 CVE-2025-48866 が FIX：リソース消費に起因するシステム・クラッシュ

New ModSecurity WAF Vulnerability Let Attackers Crash the Syste

2024/06/03 CyberSecurityNews — ModSecurity に深刻なサービス拒否 (DoS) の脆弱性が発見された。Apache／IIS／Nginx Web サーバの保護に使用される ModSecurity は、最も広く導入されている OSS の WAF エンジンの１つである。この脆弱性 CVE-2025-48866 は、ModSecurity のバージョン 2.9.10 以下に影響し、sanitiseArg／sanitizeArg アクションを悪用する攻撃者に対して、システム・クラッシュを引き起こす機会を与えるものだ。

ModSecurity の DoS 脆弱性 CVE-2025-47947：No Patch／Yes PoC

ModSecurity DoS Flaw: PoC Available for Apache Vulnerability (No Workaround, Patch Pending)

2025/05/23 SecurityOnline — ModSecurity の Apache モジュールで発見された、新たな脆弱性 CVE-2025-47947 (CVSS：7.5) が特定の条件下で悪用されると、Web サーバに深刻なサービス拒否 (DoS) 攻撃が生じる可能性がある。この脆弱性は、Swiss Post の代理人である、Netnea の Simon Studer (@studersi) が報告したものだ。

ModSecurity の脆弱性 CVE-2025-27110 が FIX：難読化された攻撃が可能に？

CVE-2025-27110: ModSecurity Vulnerability Leaves Web Applications Exposed

2025/02/28 SecurityOnline — 人気のオープンソース WAF (Web Application Firewall) である ModSecurity に、新たな脆弱性 CVE-2025-27110 (CVSSv4：7.9) が発見された。この脆弱性が影響を及ぼす範囲は、libmodsecurity3 バージョン 3.0.13 であり、無数の Web アプリケーションが、攻撃に対して脆弱になる可能性が生じる。具体的に言うと、HTML エンティティの先頭にゼロを埋め込んだ、悪意のあるペイロードをエンコードさせることで、攻撃者はセキュリティ・ルールを回避できるという。

ModSecurity の WAF バイパスの脆弱性 CVE-2024-1019 が FIX：直ちにアップデートを！

CVE-2024-1019: Exposing ModSecurity’s Critical WAF Bypass Flaw

2024/01/31 SecurityOnline — Web アプリケーション・セキュリティの世界において、ModSecurity は、サイバー脅威対策に強いツールの１つとして、以前から人気を誇っている。Trustwave の SpiderLabs により開発された、このオープンソースの WAF (Web Application Firewall) エンジンは、Apache／IIS／Nginx をサポートしている。さらに、強力なイベントベースのプログラミング言語を使用しており、無数の攻撃から Web アプリケーションを守ることに長けていることに加えて、HTTP トラフィックの監視／ロギング／リアルタイム分析などにも優れている。

BLACK HAT ASIA 2022 での発表：SQL クエリーの変換により WAF バイパスが可能になる

Transforming SQL Queries Bypasses WAF Security

2022/05/13 DarkReading — BLACK HAT ASIA 2022 – ある大学研究者のチームが基本的な機械学習を用いて、一般的な WAF には悪意のものとして検出されずに、攻撃者のペイロードを配信するパターンを特定したと、シンガポールで開催中の Black Hat Asia で発表した。中国浙江大学の研究者は、一般的な SQL を用いて、Web アプリケーションのデータベースを標的とした、インジェクション攻撃を変換する一般的な方法に着手した。

OWASP ModSecurity Core Rule Set サンドボックスが登場：新たな CVE の研究が効率化される

OWASP ModSecurity Core Rule Set sandbox launched to help security researchers test new CVEs

2021/12/10 DailySwig — OWASP ModSecurity Core Rule Set に対してペイロード・テストを行うセキュリティ研究者たちが、プロジェクト・メンテナがリリースした新しいサンドボックスを使えるようになったという朗報である。この Core Rule Set (CRS) とは、ModSecurity および、互換性のある Web Application Firewalls (WAF) で使用するための、一般的な攻撃検知ルールのセットである。その目的は、OWASP Top Ten を含む広範な攻撃から、Webアプリケーションを保護することにある。