InfraFenceInfraFence

Live Security Operations

Começar

Patches virtuais

Os patches virtuais do InfraFence: regras ModSecurity específicas que bloqueiam no Apache as CVEs exploradas ativamente até você poder atualizar, com verificação de aplicação e reversão automática.

Última atualização:

Quando uma vulnerabilidade está sendo explorada e a atualização não pode ser instalada na hora, um patch virtual bloqueia o ataque no servidor web: uma regra ModSecurity específica para aquela única CVE.

O catálogo vem embutido no agente: o painel só envia o id de um patch, nunca uma regra própria.

CVE O que bloqueia
CVE-2021-41773 Path traversal e exposição de arquivos no Apache HTTP Server 2.4.49
CVE-2021-42013 Path traversal com codificação dupla no Apache HTTP Server 2.4.50
CVE-2024-4577 Injeção de argumentos no PHP-CGI por meio de um soft hyphen na query string
CVE-2021-44228 Lookup JNDI do Apache Log4j (Log4Shell), incluindo formas ofuscadas
CVE-2022-26134 Injeção OGNL no caminho da requisição do Atlassian Confluence
CVE-2023-22527 Injeção de template no Atlassian Confluence por meio de text-inline.vm
CVE-2017-5638 Injeção OGNL no cabeçalho Content-Type do Apache Struts 2
CVE-2023-23752 Exposição de informações na API de web services do Joomla 4

Requisitos

Os mesmos do ModSecurity: Apache com ModSecurity, Permitir alterações na configuração do servidor web ativado e nenhum painel de hospedagem ou ferramenta de gerenciamento de configuração controlando o servidor web. Não no modo monitor. Os patches virtuais são um recurso do Pro, aplicados por uma pessoa a partir da análise por IA ou pelo AutoMode.

Como um patch é aplicado

  1. O agente anota quais portas SSH e quais sites respondem.
  2. Ele grava a regra (ids de 9920000 a 9929999) no próprio arquivo ModSecurity, executa apachectl configtest e recarrega o Apache de forma suave.
  3. Ele verifica se o SSH e os sites ainda respondem. Se não, remove o patch.
  4. Ele verifica se o ModSecurity realmente aplica a regra, com uma requisição de teste inofensiva que só a regra de teste do InfraFence responde. Um ModSecurity que só registra (DetectionOnly) não protege nada: nesse caso, o patch é removido e reportado como ineficaz.

A remoção de um patch é feita do mesmo jeito, em Atividade com Desfazer.