CVE-2025-31699
WysokieCVSS 8.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Apache Traffic Server może zwrócić połączenie do współdzielonej puli, gdy origin wciąż oczekuje na treść żądania zadeklarowaną przez klienta, ale nigdy w pełni niewysłaną (także przy Expect: 100-continue). Origin odczytuje wtedy późniejsze żądanie na tym połączeniu jako resztkową treść, co pozwala atakującemu przemycać żądania poza kontrolą dostępu ATS, zakłócać żądania innych użytkowników lub zatruwać pamięć podręczną.
Ocena ryzyka
Luka umożliwia obejście kontroli dostępu, zakłócanie ruchu innych użytkowników oraz zatruwanie pamięci podręcznej. Może to prowadzić do nieautoryzowanego dostępu do zasobów i rozpowszechniania fałszywych treści.
Rekomendacja
Zaktualizuj Apache Traffic Server do wersji 9.2.16, 10.1.5 lub 10.2.1, które naprawiają ten problem. Sprawdź, czy w środowisku nie są używane podatne wersje z zakresów 8.0.0–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 i 10.2.0.
Inne podatności w Apache Traffic Server
Zobacz wszystkie- CVE-2017-5659Wysokie
Apache Traffic Server w wersjach przed 6.2.1 generuje zrzut pamięci, gdy występuje niezgodność między długością treści a kodowaniem chunked.
- CVE-2016-5396Wysokie
Apache Traffic Server w wersjach od 6.0.0 do 6.2.0 jest podatny na atak typu HPACK Bomb.
- CVE-2014-3525Wysokie
Nieokreślona podatność w Apache Traffic Server w wersjach 3.x do 3.2.5, 4.x przed 4.2.1.1 oraz 5.x przed 5.0.1. Podatność ta może być związana z kontrolami stanu, jednak jej wpływ i wektory ataku są nieznane.
- CVE-2026-111815Krytyczne
Apache Traffic Server może wznowić sesję TLS między wirtualnymi hostami SNI bez ponownej weryfikacji certyfikatu klienta wymaganego przez politykę verify_client STRICT wznowionego hosta. Podatność dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.15, od 10.0.0 do 10.1.4 oraz 10.2.0.
- CVE-2026-111814Krytyczne
Domyślna polityka współdzielenia sesji wychodzących Apache Traffic Server może ponownie użyć sesji TLS uwierzytelnionej jednym certyfikatem klienta dla transakcji skonfigurowanej do przedstawienia innego certyfikatu. Podatność dotyczy wersji od 9.0.0 do 9.2.15, od 10.0.0 do 10.1.4 oraz 10.2.0.
- CVE-2026-111812Krytyczne
Wtyczka origin_server_auth w Apache Traffic Server pozwala klientowi wymusić podpisywanie nagłówków żądań AWS wybranych przez atakującego, przy użyciu poświadczeń samego proxy. Podatność dotyczy wersji 8.0.0–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 oraz 10.2.0.
- CVE-2026-111811Krytyczne
Eksperymentalna wtyczka tsmemcache w Apache Traffic Server pozwala nieuwierzytelnionemu użytkownikowi sieci na odczyt, zapis i usuwanie współdzielonego cache proxy. Podatność dotyczy wersji 8.0.0–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 oraz 10.2.0.
- CVE-2026-111809Krytyczne
Apache Traffic Server pozwala na przemyt żądań (request smuggling) poprzez żądania HEAD zawierające nagłówki Content-Length lub Transfer-Encoding. Podatność dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.15, od 10.0.0 do 10.1.4 oraz 10.2.0.
- CVE-2026-111816Krytyczne
Apache Traffic Server przetwarza nieprawidłowe odpowiedzi 302, które powinny zostać odrzucone jako błąd parsowania, z powodu obejścia ścieżki odrzucania przez wyjątek Transfer-Encoding: chunked. Odpowiedź, którą dwa węzły mogą odczytać różnie, jest przechowywana i serwowana, co umożliwia zatruwanie pamięci podręcznej i desynchronizację ramkowania odpowiedzi.
- CVE-2026-111813Krytyczne
Eksperymentalna wtyczka magick w Apache Traffic Server pozwala nieuwierzytelnionemu klientowi kontrolować argumenty polecenia ImageMagick convert w konfiguracji domyślnej (niepodpisanej). Podatność dotyczy wersji 8.0.1–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 oraz 10.2.0.
Oryginalny opis (angielski, źródło NVD)
Apache Traffic Server can return an origin connection to the shared pool while the origin is still waiting on a request body the client declared but never fully sent, including when the client used Expect: 100-continue. The origin then reads a later request on that connection as leftover body data, which lets an attacker smuggle requests past ATS access controls, disrupt other users' requests, or poison the cache. This issue affects Apache Traffic Server: from 8.0.0 through 8.1.11, from 9.0.0 through 9.2.15, from 10.0.0 through 10.1.4, 10.2.0. Users are recommended to upgrade to version 9.2.16, 10.1.5, or 10.2.1, which fix the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS