Bypass del WAF tramite Confusione del Charset: La Storia di CVE-2026-21876

Q: Qual è la causa principale della vulnerabilità CVE-2026-21876?

La causa principale è un problema di sovrascrittura di variabili nella regola OWASP CRS 922110. Durante l'analisi di una richiesta multipart, il WAF scrive il Content-Type e il charset di ogni parte nella stessa variabile globale di transazione. Poiché la validazione rispetto alla whitelist avviene solo dopo l'elaborazione di tutte le parti, viene effettivamente verificato solo il Content-Type dell'ultima parte, lasciando quelle precedenti non controllate.

Q: Perché la confusione del charset con IBM037 o UTF-7 porta a un bypass del WAF?

Gli aggressori possono codificare i loro payload dannosi in charset non standard come IBM037 (una codifica basata su EBCDIC) o UTF-7. Il WAF non decodifica né ispeziona queste parti perché la validazione del loro Content-Type viene elusa a causa della sovrascrittura della variabile e le sue firme sono scritte per ASCII/UTF-8. Tuttavia, i server di backend (come Undertow o ASP.NET Core) supportano e decodificano automaticamente questi charset, ripristinando il payload in chiaro sul backend.

Q: In che modo l'OWASP Core Rule Set risolve questa vulnerabilità?

La vulnerabilità è stata risolta riscrivendo il set di regole. Invece di sovrascrivere un'unica variabile, la nuova logica inizializza un contatore, memorizza il Content-Type di ciascuna parte multipart in una variabile separata con un nome univoco, e quindi itera su tutte le variabili registrate per garantire che ognuna sia validata rispetto alla whitelist.

I Web Application Firewall (WAF) sono componenti critici della moderna sicurezza web. Si posizionano tra i client e i server di backend, ispezionando il traffico in entrata per rilevare e bloccare payload dannosi come SQL Injection (SQLi) e Cross-Site Scripting (XSS). Tuttavia, un WAF è forte solo quanto lo sono le sue regole.

In questo articolo analizzeremo CVE-2026-21876, una vulnerabilità ad alta gravità nell'OWASP ModSecurity Core Rule Set (CRS). Questo difetto consentiva agli aggressori di eludere completamente i controlli di sicurezza sfruttando un bug di sovrascrittura delle variabili in combinazione con la decodifica automatica dei set di caratteri (charset) sui backend delle applicazioni moderne.

...

🔒

🔒 Articolo riservato

Questa guida alla sicurezza informatica contiene informazioni tecniche sensibili ed è riservata agli utenti VIP. Se disponi di un account, contatta l'amministratore per richiedere l'accesso VIP.

Accedi per accedere

Bypass del WAF tramite Confusione del Charset: La Storia di CVE-2026-21876

🔒 Articolo riservato

Suggerimenti & Feedback

Segnala il contenuto