Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Apache Traffic Server opravuje 34 zraniteľností
Apache verziami 9.2.15 a 10.1.4 opravuje 34 zraniteľností v produkte Apache Traffic Server (ATS). Vybrané kritické zraniteľnosti nájdete popísané nižšie, ostatné na [1].
Neautentizovanému vzdialenému útočníkovi je zaslaním špeciálne vytvorených hop-by-hop hlavičiek (uvedených v Connection) alebo interných hlavičiek s prefixom @, ktoré ATS od nedôveryhodnej protistrany neodstraňuje, umožnené vykonať request smuggling a podvrhnúť interné metadáta. [2][1]
Zraniteľnosť sa nachádza v produkte:
- Apache Traffic Server; >=9.2.0, <=9.2.14; >=10.1.0, <=10.1.3;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
Viac informácií:
- CVE-2026-33267 na cve.org, NVD
- CWE-20: Improper Input Validation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 7. 2026.
Neautentizovanému vzdialenému útočníkovi je zasielaním požiadaviek HTTP/2 s hlavičkou Transfer-Encoding, ktorú ATS neodmieta, umožnené pri preklade HTTP/2 na HTTP/1.1 vykonať útok typu downgrade request smuggling. [3][1]
Zraniteľnosť sa nachádza v produkte:
- Apache Traffic Server; >=8.0.0, <=8.1.9; >=9.0.0, <=9.2.14; >=10.0.0, <=10.1.13;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
Viac informácií:
- CVE-2026-58150 na cve.org, NVD
- CWE-444: Inconsistent Interpretation of HTTP Requests na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 7. 2026.
Neautentizovanému vzdialenému útočníkovi je kvôli orezávaniu príliš dlhých názvov hlavičiek umožnené spôsobiť kolíziu názvov hlavičiek (header aliasing), vykonať request smuggling a obísť bezpečnostné politiky. [4][1]
Zraniteľnosť sa nachádza v produkte:
- Apache Traffic Server; >=8.0.0, <=8.1.9; >=9.0.0, <=9.2.14; >=10.0.0, <=10.1.13;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:N
Viac informácií:
- CVE-2026-58155 na cve.org, NVD
- CWE-444: Inconsistent Interpretation of HTTP Requests na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 7. 2026.
Odkazy
Za CESNET, z.s.p.o. Táňa Macháčková dňa 30. 7. 2026.