Cette information provient de Cybersecuritynews, qui rapporte une vulnérabilité critique dans le module Apache de ModSecurity, un pare-feu d’application web open-source largement utilisé.
La faille, identifiée sous le code CVE-2025-47947 et avec un score CVSS de 7.5, concerne la gestion des charges utiles JSON dans des conditions spécifiques, exposant potentiellement des millions de serveurs web à des attaques par déni de service (DoS). Les chercheurs en sécurité ont confirmé que cette vulnérabilité peut être exploitée avec un minimum d’effort, nécessitant seulement une requête spécialement conçue pour consommer une quantité excessive de mémoire serveur et potentiellement faire planter les systèmes ciblés.
Signalée initialement en mars 2025 par Simon Studer de Netnea pour le compte de la Poste Suisse, la vulnérabilité a nécessité plusieurs mois pour être reproduite et comprise par les développeurs. Elle affecte spécifiquement mod_security2, la version module Apache de ModSecurity, tandis que la nouvelle implémentation libmodsecurity3 n’est pas concernée.
Pour que la faille soit exploitée, deux conditions doivent être remplies : la charge utile entrante doit avoir un type de contenu application/json, et il doit y avoir au moins une règle active utilisant l’action sanitiseMatchedBytes. Cet article est une analyse technique qui vise à informer sur les détails et l’impact de cette vulnérabilité.
🔗 Source originale : https://cybersecuritynews.com/modsecurity-dos-vulnerability/
🖴 Archive : https://web.archive.org/web/20250528174744/https://cybersecuritynews.com/modsecurity-dos-vulnerability/