Podatności Apache Traffic Server

Apache Traffic Server w wersjach przed 6.2.1 generuje zrzut pamięci, gdy występuje niezgodność między długością treści a kodowaniem chunked.

Apache Traffic Server w wersjach od 6.0.0 do 6.2.0 jest podatny na atak typu HPACK Bomb.

Nieokreślona podatność w Apache Traffic Server w wersjach 3.x do 3.2.5, 4.x przed 4.2.1.1 oraz 5.x przed 5.0.1. Podatność ta może być związana z kontrolami stanu, jednak jej wpływ i wektory ataku są nieznane.

Apache Traffic Server może wznowić sesję TLS między wirtualnymi hostami SNI bez ponownej weryfikacji certyfikatu klienta wymaganego przez politykę verify_client STRICT wznowionego hosta. Podatność dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.15, od 10.0.0 do 10.1.4 oraz 10.2.0.

Domyślna polityka współdzielenia sesji wychodzących Apache Traffic Server może ponownie użyć sesji TLS uwierzytelnionej jednym certyfikatem klienta dla transakcji skonfigurowanej do przedstawienia innego certyfikatu. Podatność dotyczy wersji od 9.0.0 do 9.2.15, od 10.0.0 do 10.1.4 oraz 10.2.0.

Wtyczka origin_server_auth w Apache Traffic Server pozwala klientowi wymusić podpisywanie nagłówków żądań AWS wybranych przez atakującego, przy użyciu poświadczeń samego proxy. Podatność dotyczy wersji 8.0.0–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 oraz 10.2.0.

Eksperymentalna wtyczka tsmemcache w Apache Traffic Server pozwala nieuwierzytelnionemu użytkownikowi sieci na odczyt, zapis i usuwanie współdzielonego cache proxy. Podatność dotyczy wersji 8.0.0–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 oraz 10.2.0.

Apache Traffic Server pozwala na przemyt żądań (request smuggling) poprzez żądania HEAD zawierające nagłówki Content-Length lub Transfer-Encoding. Podatność dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.15, od 10.0.0 do 10.1.4 oraz 10.2.0.

Apache Traffic Server przetwarza nieprawidłowe odpowiedzi 302, które powinny zostać odrzucone jako błąd parsowania, z powodu obejścia ścieżki odrzucania przez wyjątek Transfer-Encoding: chunked. Odpowiedź, którą dwa węzły mogą odczytać różnie, jest przechowywana i serwowana, co umożliwia zatruwanie pamięci podręcznej i desynchronizację ramkowania odpowiedzi.

Eksperymentalna wtyczka magick w Apache Traffic Server pozwala nieuwierzytelnionemu klientowi kontrolować argumenty polecenia ImageMagick convert w konfiguracji domyślnej (niepodpisanej). Podatność dotyczy wersji 8.0.1–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 oraz 10.2.0.

Apache Traffic Server zawiera podatność nieprawidłowej kontroli dostępu. Problem dotyczy wersji od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zaleca się aktualizację do wersji 9.2.15 lub 10.1.4, które naprawiają tę podatność. Niniejsze CVE zastępuje CVE-2026-41920, którego rekord błędnie wskazywał wersje 9.x jako 9.0.0 do 9.1.14, a wersję naprawioną jako 9.1.15; wszystkie wydania 9.2.x przed 9.2.15 są podatne.

Wtyczka certifier w Apache Traffic Server generuje certyfikaty na podstawie kontrolowanego przez atakującego pola SNI klienta. Problem dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3.

Apache Traffic Server obcina zbyt długie nazwy nagłówków, co umożliwia aliasowanie nagłówków, przemyt żądań i obejście polityk bezpieczeństwa. Podatność dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3.

Apache Traffic Server nie odrzuca nagłówka Transfer-Encoding w żądaniach HTTP/2, co umożliwia przemyt żądań poprzez downgrade protokołu. Podatność dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3.

Apache Traffic Server pozwala na przemyt żądań (request smuggling), jeśli wiadomości chunked są nieprawidłowo sformatowane. Podatność dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3.

Apache Traffic Server zawiera lukę związaną z nieprawidłową kontrolą dostępu. Luka dotyczy wersji od 9.0.0 do 9.1.14 oraz od 10.0.0 do 10.1.3.

Apache Traffic Server jest podatny na lukę związaną z nieprawidłową walidacją danych wejściowych. Luka dotyczy wersji od 9.2.0 do 9.2.14 oraz od 10.1.0 do 10.1.3.

Podatność związana z niewłaściwą walidacją danych wejściowych w Apache Traffic Server. Problem ten dotyczy wersji Apache Traffic Server do 9.2.1.

Funkcja eksperymentalna HTTP/2 w Apache Traffic Server 5.3.x przed wersją 5.3.1 umożliwia zdalnym atakującym spowodowanie odmowy usługi (dostęp poza zakresem i awaria demona) lub potencjalne wykonanie dowolnego kodu poprzez wektory związane z tablicą frame_handlers lub funkcją set_dynamic_table_size.

Apache Traffic Server w wersji 5.1.x przed 5.1.1 pozwala zdalnym atakującym na obejście ograniczeń dostępu poprzez niewłaściwe tunelowanie żądań remap przy użyciu CONNECT.

Nieokreślona podatność w eksperymentalnej funkcji HTTP/2 w Apache Traffic Server przed wersją 5.3.2 może prowadzić do nieznanego wpływu i wektorów ataku.

Apache Traffic Server może ulec awarii z powodu dereferencji wskaźnika null, gdy żądanie POST klienta jest zrywane przez half-close podczas ponownego parsowania odpowiedzi źródła chunked z reentrantnego wywołania zwrotnego write-ready. Jest to wyścig zależny od czasu wprowadzony przez backporty kontroli przepływu CVE-2021-32564. Problem dotyczy wersji 9.2.15, 10.1.4 i 10.2.0.

Apache Traffic Server może wstrzymać przekazywany transfer chunked z usuniętymi trailerami (proxy.config.http.drop_chunked_trailers) aż do przekroczenia limitu czasu połączenia, ponieważ czeka na bajty trailera, które już zostały usunięte. Usuwanie trailerów jest domyślnie włączone w wersji 10.x; w wersjach 8.1.11 i 9.2.x jest domyślnie wyłączone i dotyczy ich tylko po włączeniu. Problem dotyczy wersji 8.1.11, od 9.2.5 do 9.2.15, od 10.0.0 do 10.1.4 oraz 10.2.0.

Apache Traffic Server w wersjach 9.2.15, 10.1.4 i 10.2.0 zapisuje jedną nieograniczoną linię logu diagnostycznego dla każdego usuwanego wewnętrznego nagłówka @, więc żądanie zawierające wiele takich nagłówków powoduje zapis znacznie większej ilości danych logu niż zawiera samo żądanie.

Apache Traffic Server może zostać wykorzystany do wyczerpania puli roboczej źródła HTTP/1.1 za pomocą zniekształconej ramki DATA HTTP/2 z dopełnieniem. Problem dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.15, od 10.0.0 do 10.1.4 oraz 10.2.0. Zaleca się aktualizację do wersji 9.2.16, 10.1.5 lub 10.2.1, które naprawiają problem.

Apache Traffic Server pozwala na wyczerpanie puli wątków roboczych serwera źródłowego HTTP/1.1 poprzez przesłanie skróconej wartości Content-Length w żądaniu HTTP/2. Podatność dotyczy wersji 8.0.0–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 oraz 10.2.0.

Eksperymentalna wtyczka wasm w Apache Traffic Server zawiera błąd use-after-free w obsłudze zamknięcia transakcji oraz przekazuje niezwalidowane identyfikatory metryk dostarczone przez gościa do wewnętrznego API statystyk. Problem dotyczy wersji od 10.0.0 do 10.1.4 oraz 10.2.0.

Gdy klient wysyła żądanie POST z nagłówkiem Expect: 100-continue, a serwer origin odpowiada przed odczytaniem ciała, Apache Traffic Server parsuje nieodczytane ciało pozostałe na połączeniu klienta jako następne żądanie. Atakujący za frontowym proxy współdzielącym połączenia z Traffic Server może przemycić żądania poza front i zdesynchronizować odpowiedzi dla innych użytkowników.

Apache Traffic Server może zwrócić połączenie do współdzielonej puli, gdy origin wciąż oczekuje na treść żądania zadeklarowaną przez klienta, ale nigdy w pełni niewysłaną (także przy Expect: 100-continue). Origin odczytuje wtedy późniejsze żądanie na tym połączeniu jako resztkową treść, co pozwala atakującemu przemycać żądania poza kontrolą dostępu ATS, zakłócać żądania innych użytkowników lub zatruwać pamięć podręczną.

Apache Traffic Server aktualizuje dynamiczną tablicę HPACK w HTTP/2 przed potwierdzeniem poprawnego zakodowania bloku nagłówków, więc błąd kodowania pozostawia enkoder w stanie niespójnym z dekoderem drugiej strony i uszkadza kolejne bloki nagłówków w połączeniu. Luka dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3.

Apache Traffic Server pozwala na obejście limitu przekierowań, gdy wtyczki resetują licznik ponownych prób, co umożliwia amplifikację SSRF. Podatność dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zalecane jest uaktualnienie do wersji 9.2.15 lub 10.1.4.

Kilka eksperymentalnych wtyczek Apache Traffic Server ma błędy bezpieczeństwa pamięci i obejścia limitów. Problem dotyczy Apache Traffic Server w wersjach od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zaleca się aktualizację do wersji 9.2.15 lub 10.1.4, które naprawiają ten problem.

Wtyczka multipleksera Apache Traffic Server przepełnia bufor dekodowania fragmentów na wejściu nadrzędnym, co umożliwia atak denial of service. Problem dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zalecane jest uaktualnienie do wersji 9.2.15 lub 10.1.4, które naprawiają problem.

Wtyczka webp_transform w Apache Traffic Server może niebezpiecznie dekodować i serwować błędnie oznaczone, podlegające cache'owaniu odpowiedzi. Problem dotyczy Apache Traffic Server w wersjach od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zaleca się aktualizację do wersji 9.2.15 lub 10.1.4, które naprawiają ten problem.

Wtyczka intercept w Apache Traffic Server zawiera lukę use-after-free (użycie zwolnionej pamięci). Luka dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3.

Wtyczka header_rewrite w Apache Traffic Server może ulec awarii lub uszkodzić pamięć podczas operacji na ciasteczkach i dopasowywania warunków CIDR. Podatność dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zalecane jest uaktualnienie do wersji 9.2.15 lub 10.1.4.

Wtyczka prefetch w Apache Traffic Server może ulec awarii podczas przetwarzania danych wejściowych pochodzących od atakującego. Luka dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3.

Wtyczka ts_lua w Apache Traffic Server nieprawidłowo obsługuje inicjalizację, kontekst transformacji i stan per-instancji. Problem dotyczy Apache Traffic Server w wersjach od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zaleca się aktualizację do wersji 9.2.15 lub 10.1.4, które naprawiają ten problem.

Wtyczki uri_signing i url_sig w Apache Traffic Server mogą wyczerpać stos lub ulec awarii na skutek danych wejściowych od atakującego. Problem dotyczy Apache Traffic Server w wersjach od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zaleca się aktualizację do wersji 9.2.15 lub 10.1.4, które naprawiają ten problem.

Wtyczka txn_box w Apache Traffic Server powoduje przepełnienie stosu na skutek danych wejściowych kontrolowanych przez atakującego. Problem dotyczy Apache Traffic Server w wersjach od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zaleca się aktualizację do wersji 9.2.15 lub 10.1.4, które naprawiają ten problem.

Wtyczka regex_remap w Apache Traffic Server przepełnia stos i liczby całkowite z danych wejściowych podstawiania. Podatność dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zalecane jest uaktualnienie do wersji 9.2.15 lub 10.1.4.

Wtyczka ESI w Apache Traffic Server może rekursywnie przetwarzać bez ograniczeń i pobierać adresy URL kontrolowane przez atakującego. Problem dotyczy Apache Traffic Server w wersjach od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zaleca się aktualizację do wersji 9.2.15 lub 10.1.4, które naprawiają ten problem.

Framework Cripts serwera Apache Traffic Server zawiera błędy zapisu poza zakresem, przechodzenia poza ścieżkę (path traversal) oraz użycia po zwolnieniu (use-after-free). Problem dotyczy wersji od 10.0.0 do 10.1.3.

Apache Traffic Server wycieka pamięć podczas obsługi rekordów SRV w HostDB. Problem dotyczy Apache Traffic Server w wersjach od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zaleca się aktualizację do wersji 9.2.15 lub 10.1.4, które naprawiają ten problem.

Apache Traffic Server ma błędy use-after-free oraz time-of-check/time-of-use w obsłudze konfiguracji remap. Podatność dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zalecane jest uaktualnienie do wersji 9.2.15 lub 10.1.4.

Apache Traffic Server nieprawidłowo obsługuje pola cache na dysku i cykl życia obiektów, co może prowadzić do uszkodzenia stanu lub awarii. Problem dotyczy Apache Traffic Server w wersjach od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zaleca się aktualizację do wersji 9.2.15 lub 10.1.4, które naprawiają ten problem.

Apache Traffic Server może ulec awarii z powodu dereferencji null i wiszących referencji w obsłudze TLS i SNI. Podatność dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zalecane jest uaktualnienie do wersji 9.2.15 lub 10.1.4.

Apache Traffic Server odczytuje dane poza zakresem bufora podczas parsowania odpowiedzi DNS. Luka dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3.

Apache Traffic Server może obejść kontrolę dostępu IP na słuchaczach UDS oraz przez błędy w dopasowywaniu ACL. Podatność dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3. Zalecane jest uaktualnienie do wersji 9.2.15 lub 10.1.4.

Apache Traffic Server nieprawidłowo obsługuje dane wejściowe protokołu PROXY, co prowadzi do skrócenia portów i przepełnienia stosu. Problem dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3.