owasp-modsecurity ModSecurity
ModSecurity: il parser multipart non vede il filename* e le regole sul nome file si aggirano
Il problema, secondo i dati ufficiali
- Il parser multipart di ModSecurity non applica la precedenza del parametro filename* (RFC 2231) usata dai parser di applicazioni Go, Python, Node.js e Java. Un header Content-Disposition può quindi contenere un filename innocuo per ModSecurity e un filename* codificato diverso, preferito dall'applicazione.
- Le regole MULTIPART_FILENAME e l'applicazione decidono così su nomi diversi, e un nome file che ha eluso il controllo del WAF può arrivare all'applicazione. Il rischio riguarda le applicazioni che usano il nome scelto dal backend per salvataggio dei file, controllo delle estensioni o deduzione del content-type.
- Può essere sfruttata via rete, senza bisogno di un account, secondo il punteggio ufficiale. Il parser multipart nativo di PHP non è interessato da questa discrepanza.
- Secondo la CISA esiste già un exploit dimostrativo pubblico.
- Secondo la CISA l'attacco si può automatizzare.
- La scheda raccoglie 2 vulnerabilità pubblicate lo stesso giorno sullo stesso prodotto: i dati sopra sono quelli della più grave.
Cosa fare
- I dati strutturati e la descrizione del produttore non coincidono sulle versioni corrette: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Ne parlano
- Vulnerabilità in ModSecurity — CSIRT Italia, 9 novembre 2026
Fonti ufficiali
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
Descrizione ufficiale (in inglese)
ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx. From 3.0.0 until 3.0.17, ModSecurity's multipart parser does not apply the RFC 2231 filename* parameter precedence used by common Go, Python, Node.js, and Java application parsers. A Content-Disposition header can provide a benign filename parameter for ModSecurity and a different encoded filename* value that the backend prefers, causing MULTIPART_FILENAME rules and the application to make security decisions on different names. Applications that use the backend-selected name for storage, extension checks, or content-type inference can therefore receive a filename that bypassed WAF inspection. PHP's native multipart parser is not affected by this discrepancy. This issue is fixed in version 3.0.17.
Non sai se ti riguarda?
Se usi owasp-modsecurity ModSecurity e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.