VULNERABILIDADDetectada 05 NOV · 14:28

CVE-2026-61813 Verificación TLS no estricta en HttpsClient::download de ModSecurity

Antes de 2.9.15 y 3.0.17, HttpsClient::download en src/utils/https_client.cc de ModSecurity configura CURLOPT_SSL_VERIFYHOST en 1 en lugar del valor estricto 2L. En condiciones de intermediario y de interceptación TLS, esta configuración débil puede reducir la validación de identidad del par y aumentar el riesgo de aceptar un certificado para un host no previsto. Corregido en 2.9.15 y 3.0.17.

3.7BAJA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,2 % · percentil 4
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

owasp-modsecurity ModSecurity
< 2.9.15>= 3.0.0, < 3.0.17

Qué hacer

Verificá si usás ModSecurity y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 3.7 BAJA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N

Vector de ataqueRed
Complejidad del ataqueAlta
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadBaja
IntegridadNinguna
DisponibilidadNinguna

Descripción original

ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx. Prior to 2.9.15 and 3.0.17, the HttpsClient::download function in src/utils/https_client.cc sets libcurl CURLOPT_SSL_VERIFYHOST to 1 instead of the strict value 2L. Under adversary-in-the-middle and TLS interception conditions, this non-strict setting may weaken TLS peer identity validation and increase the risk of accepting a certificate for an unintended host. End-to-end exploitation is non-trivial in typical environments. This issue is fixed in versions 2.9.15 and 3.0.17.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.