Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-05796

Опубликовано: 26 июл. 2024
Источник: fstec
CVSS3: 9
CVSS2: 7.6
EPSS Низкий

Описание

Уязвимость веб-сервера Apache Traffic Server существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить атаку «контрабанда HTTP-запросов»

Вендор

Apache Software Foundation

Наименование ПО

Traffic Server

Версия ПО

от 8.0.0 до 8.1.11 (Traffic Server)
от 9.0.0 до 9.2.5 (Traffic Server)

Тип ПО

Сетевое программное средство

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- установка параметра proxy.config.http.drop_chunked_trailers в значение 1 в файле конфигурации Apache Traffic Server:
CONFIG proxy.config.http.drop_chunked_trailers INT 1
(документация по настройке https://docs.trafficserver.apache.org/admin-guide/files/records.config.en.html);
- использование средств межсетевого экранирования для ограничения удалённого доступа.
- использование виртуальных частных сетей для организации удаленного доступа (VPN).
Использование рекомендаций производителя:
https://lists.apache.org/thread/c4mcmpblgl8kkmyt56t23543gp8v56m0

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 43%
0.00209
Низкий

9 Critical

CVSS3

7.6 High

CVSS2

Связанные уязвимости

ubuntu логотип

CVE-2024-35161

CVSS3: 7.5
ubuntu
больше 1 года назад

Apache Traffic Server forwards malformed HTTP chunked trailer section to origin servers. This can be utilized for request smuggling and may also lead cache poisoning if the origin servers are vulnerable. This issue affects Apache Traffic Server: from 8.0.0 through 8.1.10, from 9.0.0 through 9.2.4. Users can set a new setting (proxy.config.http.drop_chunked_trailers) not to forward chunked trailer section. Users are recommended to upgrade to version 8.1.11 or 9.2.5, which fixes the issue.

redhat логотип

CVE-2024-35161

CVSS3: 7.5
redhat
больше 1 года назад

Apache Traffic Server forwards malformed HTTP chunked trailer section to origin servers. This can be utilized for request smuggling and may also lead cache poisoning if the origin servers are vulnerable. This issue affects Apache Traffic Server: from 8.0.0 through 8.1.10, from 9.0.0 through 9.2.4. Users can set a new setting (proxy.config.http.drop_chunked_trailers) not to forward chunked trailer section. Users are recommended to upgrade to version 8.1.11 or 9.2.5, which fixes the issue.

nvd логотип

CVE-2024-35161

CVSS3: 7.5
nvd
больше 1 года назад

Apache Traffic Server forwards malformed HTTP chunked trailer section to origin servers. This can be utilized for request smuggling and may also lead cache poisoning if the origin servers are vulnerable. This issue affects Apache Traffic Server: from 8.0.0 through 8.1.10, from 9.0.0 through 9.2.4. Users can set a new setting (proxy.config.http.drop_chunked_trailers) not to forward chunked trailer section. Users are recommended to upgrade to version 8.1.11 or 9.2.5, which fixes the issue.

debian логотип

CVE-2024-35161

CVSS3: 7.5
debian
больше 1 года назад

Apache Traffic Server forwards malformed HTTP chunked trailer section ...

github логотип

GHSA-j49j-p46f-pfcv

CVSS3: 9.1
github
больше 1 года назад

Apache Traffic Server forwards malformed HTTP chunked trailer section to origin servers. This can be utilized for request smuggling and may also lead cache poisoning if the origin servers are vulnerable. This issue affects Apache Traffic Server: from 8.0.0 through 8.1.10, from 9.0.0 through 9.2.4. Users can set a new setting (proxy.config.http.drop_chunked_trailers) not to forward chunked trailer section. Users are recommended to upgrade to version 8.1.11 or 9.2.5, which fixes the issue.

EPSS

Процентиль: 43%
0.00209
Низкий

9 Critical

CVSS3

7.6 High

CVSS2