[TLP:CLEAR] Apache Traffic Server opravuje 2 zranitelnosti
Apache verzemi 10.0.6 a 9.2.11 opravuje dvě zranitelnosti v produktu Apache Traffic Server [1]. Opravené verze poskytují pouze konfigurační možnosti k mitigaci těchto zranitelností – jejich účinnost závisí na správném nastavení ze strany uživatele.
Neautentizovanému vzdálenému útočníkovi je kvůli chybějícímu omezení hloubky vnoření (maximum inclusion depth) v ESI pluginu umožněno vykonat útok DoS [1][2]. Zranitelnost lze mitigovat omezením hloubky pomocí nového nastavení '--max-inclusion-depth'.
Zranitelnost se nachází v produktu:
- Apache Traffic Server; >=9.0.0, <=9.2.10; >=10.0.0, <=10.0.5;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2025-49763 na cve.org, NVD
- CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org
Zranitelnost byla veřejně oznámena 19. 6. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli nesprávnému zpracování klientské IP adresy při konfiguraci serveru v 'ip_allow.config' nebo 'remap.config' s využitím PROXY protokolu umožněno získat neoprávněný přístup [1][3]. Zranitelnost lze mitigovat pomocí nového nastavení 'proxy.config.acl.subjects' určujícího IP adresu, která bude pro vyhodnocení ACL pravidel použita.
Zranitelnost se nachází v produktu:
- Apache Traffic Server; >=9.0.0, <=9.2.10; >=10.0.0, <=10.0.5;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Více informací:
- CVE-2025-31698 na cve.org, NVD
- CWE-284: Improper Access Control na cwe.mitre.org
Zranitelnost byla veřejně oznámena 19. 6. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Ručková dne 20. 6. 2025.