Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Apache Traffic Server opravuje 2 zraniteľnosti
Apache vo verziách 10.0.6 a 9.2.11 opravuje dve zraniteľnosti v produkte Apache Traffic Server [1]. Opravené verzie poskytujú iba konfiguračné možnosti na mitigáciu týchto zraniteľností – ich účinnosť závisí od správneho nastavenia zo strany používateľa.
Neautentifikovanému vzdialenému útočníkovi je kvôli chýbajúcemu obmedzeniu hĺbky vnorenia (maximum inclusion depth) v ESI plugine umožnené vykonať útok DoS [1][2]. Zraniteľnosť možno mitigovať obmedzením hĺbky pomocou nového nastavenia '--max-inclusion-depth'.
Zraniteľnosť sa nachádza v produkte:
- Apache Traffic Server; >=9.0.0, <=9.2.10; >=10.0.0, <=10.0.5;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2025-49763 na cve.org, NVD
- CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 19. 6. 2025.
Neautentifikovanému vzdialenému útočníkovi je kvôli nesprávnemu spracovaniu klientskej IP adresy pri konfigurácii servera v 'ip_allow.config' alebo 'remap.config' s využitím PROXY protokolu umožnené získať neoprávnený prístup [1][3]. Zraniteľnosť možno mitigovať pomocou nového nastavenia 'proxy.config.acl.subjects', ktoré určuje IP adresu, ktorá sa použije na vyhodnotenie ACL pravidiel.
Zraniteľnosť sa nachádza v produkte:
- Apache Traffic Server; >=9.0.0, <=9.2.10; >=10.0.0, <=10.0.5;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Viac informácií:
- CVE-2025-31698 na cve.org, NVD
- CWE-284: Improper Access Control na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 19. 6. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Ručková dňa 20. 6. 2025.