Заобикаляне на WAF чрез объркване на кодирането: Историята на CVE-2026-21876

Q: Каква е основната причина за уязвимостта CVE-2026-21876?

Основната причина е проблем с презаписването на променливи в правило 922110 на OWASP CRS. По време на парсването на multipart заявка, WAF записва Content-Type и кодирането (charset) на всяка част в една и съща глобална променлива на трансакцията. Тъй като валидацията спрямо белия списък се извършва едва след обработката на всички части, се проверява само типът на последната част, а предходните остават непроверени.

Q: Защо объркването на кодирането с IBM037 или UTF-7 води до заобикаляне на WAF?

Атакуващите кодират зловредния си товар в нестандартни кодировки (като IBM037 на базата на EBCDIC или UTF-7). WAF не декодира или проверява тези части, тъй като проверката на техния Content-Type се заобикаля поради презаписването на променливите, а сигнатурите му са написани за ASCII/UTF-8. Въпреки това, бекенд сървърите (като Undertow или ASP.NET Core) автоматично поддържат и декодират тези кодировки, възстановявайки чистия текст на бекенда.

Q: Как OWASP Core Rule Set коригира тази уязвимост?

Уязвимостта беше коригирана чрез пренаписване на набора от правила. Вместо да се презаписва една променлива, новата логика инициализира брояч, записва Content-Type на всяка част от multipart заявката в отделна променлива с уникално име, и след това обхожда всички записани променливи, за да провери всяка една от тях спрямо белия списък.

Защитните стени за уеб приложения (WAF) са критични компоненти на модерната уеб сигурност. Те стоят между клиентите и бекенд сървърите, анализирайки входящия трафик с цел откриване и блокиране на зловредни заявки като SQL инжекции (SQLi) и междусайтов скриптинг (XSS). Но един WAF е толкова силен, колкото са силни неговите правила.

В тази статия анализираме CVE-2026-21876 – уязвимост с висока степен на сериозност в OWASP ModSecurity Core Rule Set (CRS). Този пропуск позволява на атакуващите напълно да заобиколят проверките за сигурност, като експлоатират грешка при презаписване на променливи, комбинирана с автоматично декодиране на кодирането на символите (charset) в съвременните бекенд приложения.

...

🔒

🔒 Ограничена статия

Това ръководство по киберсигурност съдържа чувствителна техническа информация и е ограничено само за VIP потребители. Ако имате акаунт, моля, свържете се с администратора, за да заявите VIP достъп.

Влезте за достъп

Заобикаляне на WAF чрез объркване на кодирането: Историята на CVE-2026-21876

🔒 Ограничена статия

Отзиви и предложения

Докладване на съдържание