InfraFenceInfraFence

Live Security Operations

Inizia

Patch virtuali

Le patch virtuali di InfraFence: regole ModSecurity mirate che bloccano su Apache le CVE sfruttate finché non aggiorni, con verifica dell'efficacia e ripristino automatico.

Ultimo aggiornamento:

Quando una vulnerabilità viene sfruttata e l'aggiornamento non si può installare subito, una patch virtuale blocca l'attacco nel web server: una regola ModSecurity mirata per quella sola CVE.

Il catalogo è incorporato nell'agente: la dashboard invia solo l'id di una patch, mai una regola propria.

CVE Cosa blocca
CVE-2021-41773 Path traversal e divulgazione di file in Apache HTTP Server 2.4.49
CVE-2021-42013 Path traversal con doppia codifica in Apache HTTP Server 2.4.50
CVE-2024-4577 Iniezione di argomenti in PHP-CGI tramite un soft hyphen nella query string
CVE-2021-44228 Lookup JNDI di Apache Log4j (Log4Shell), comprese le forme offuscate
CVE-2022-26134 Injection OGNL in Atlassian Confluence nel percorso della richiesta
CVE-2023-22527 Template injection in Atlassian Confluence tramite text-inline.vm
CVE-2017-5638 Injection OGNL in Apache Struts 2 nell'header Content-Type
CVE-2023-23752 Divulgazione di informazioni dall'API dei web service di Joomla 4

Requisiti

Gli stessi di ModSecurity: Apache con ModSecurity, Consenti modifiche alla configurazione del web server attivo e nessun pannello di hosting o strumento di configuration management che gestisca il web server. Non in modalità monitor. Le patch virtuali sono una funzione di Pro, applicate da una persona a partire dall'analisi AI oppure da AutoMode.

Come viene applicata una patch

  1. L'agente annota quali porte SSH e quali siti rispondono.
  2. Scrive la regola (id da 9920000 a 9929999) nel proprio file ModSecurity, esegue apachectl configtest e ricarica Apache in modo graceful.
  3. Controlla che SSH e i siti rispondano ancora. Se no, rimuove la patch.
  4. Controlla che ModSecurity applichi davvero la regola, con una richiesta di prova innocua a cui risponde solo la regola di test di InfraFence. Un ModSecurity che si limita a registrare (DetectionOnly) non protegge nulla: in quel caso la patch viene rimossa e segnalata come inefficace.

La rimozione di una patch avviene allo stesso modo, da Attività con Annulla.