OWASP CRS: Regulärer Ausdruck führt zu Denial of Service in RCE-Erkennungsregeln

Zusammenfassung

Das OWASP Core Rule Set (CRS) stellt generische Regeln zur Erkennung von Angriffen für Web Application Firewalls wie ModSecurity bereit. Eine gemeinsam genutzte Regex-Include-Datei, die 12 Unix-RCE-Regeln in CRS v4 verwendet, sowie vier manuell zusammengestellte Regeln in CRS v3.3 enthalten ein mehrdeutiges Muster. Eine einzelne, nicht authentifizierte, speziell gestaltete Anfrage kann das Backtracking-Limit von PCRE2 überschreiten, sodass der Operator @rx einen Fehler statt eines Treffers liefert. Dies ermöglicht eine Umgehung der Erkennung und eine CPU-Denial-of-Service-Situation auf der WAF.

Betroffen

• OWASP CRS-Versionen unter 3.3.10
• OWASP CRS-Versionen unter 4.25.1
• OWASP CRS-Versionen unter 4.28.0
• Die Versionen 4.26.x und 4.27.x werden in den Quellen nicht als behoben genannt; bis zur Überprüfung als betroffen behandeln.
• Produkte, die CRS mitliefern, etwa ModSecurity- oder Coraza-Installationen, sind betroffen, wenn sie eine verwundbare CRS-Version einsetzen.

Behoben in

• CRS 3.3.10
• CRS 4.25.1 (LTS-Linie)
• CRS 4.28.0
• Eine neuere Version (v4.29.0) existiert; die Quellen bestätigen deren Inhalt in Bezug auf diese CVE nicht.

Umgehung

• Der Hersteller empfiehlt nicht, die betroffenen Regeln zu deaktivieren, da damit auch die RCE-Erkennung entfällt, die sie bereitstellen.
• Weitere Massnahmen sind nicht dokumentiert. Das Aktualisieren ist die Behebung.

Ausnutzung

• Stand 11. Nov 2026 nicht als ausgenutzt bekannt (OffSeq).
• Im Rahmen der Recherche wurden kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden. Dies bedeutet: bisher nichts bekannt, nicht eine bestätigte Abwesenheit.

Unsere Empfehlung

• Alle Installationen von ModSecurity, Coraza, Appliances und Container-Images erfassen, die CRS enthalten, und deren Versionen festhalten.
• Auf CRS 4.28.0 oder neuer aktualisieren, auf 4.25.1 auf der LTS-Linie oder auf 3.3.10 für v3.
• Die WAF auf langsame Anfragen, CPU-Spitzen und ungewöhnliche Logeinträge prüfen. Die RCE-Regeln nicht deaktivieren.
• Falls ein Managed WAF oder ein Hosting-Provider CRS für Sie betreibt, die Aktualisierung von diesem bestätigen lassen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (CVE Program) www.cve.org
• GitHub Security Advisory GHSA-f5qm-3h4p-8qhg github.com
• CRS release announcement 4.28.0, 4.25.1 LTS and 3.3.10 coreruleset.org
• CRS release v4.28.0 github.com
• Fix commit 4665b6d github.com
• Fix commit 6083611 github.com
• VulDB entry 435891 vuldb.com
• OffSeq threat radar entry radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:21.