2022-1809: Apache Traffic Server: Mehrere Schwachstellen ermöglichen u. a. HTTP-Request-Smuggling-Angriffe

Historie:

Version 1 (2022-08-12 14:24): Neues Advisory
Version 2 (2022-08-15 10:46): Für Debian 11 Bullseye (stable) steht die Version 8.1.5+ds-1~deb11u1 von 'trafficserver' als Sicherheitsupdate zur Verfügung, womit ebenfalls die Schwachstelle CVE-2022-31778 behoben wird.
Version 3 (2023-01-23 14:21): Für Debian 10 Buster (LTS) steht ein Sicherheitsupdate für 'trafficserver' in Version 8.0.2+ds-1+deb10u7 bereit, um die Schwachstellen CVE-2021-37150, CVE-2022-25763, CVE-2022-28129 und CVE-2022-31780 zu beheben.

Betroffene Software

Server

Betroffene Plattformen

Linux

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Sicherheitsvorkehrungen zu umgehen, HTTP-Request-Smuggling-Angriffe oder einen Cache-Poisoning-Angriff durchzuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Für Fedora 35 und 36 sowie Fedora EPEL 7, 8 und 9 stehen Sicherheitsupdates auf die Traffic Server Version 9.1.3 im Status 'testing' bereit, um die Schwachstellen zu beheben. Der Hersteller veröffentlicht zusätzlich die Traffic Server Version 8.1.5 als Sicherheitsupdate.

Schwachstellen:

CVE-2021-37150

Schwachstelle in Apache Traffic Server ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2022-25763

Schwachstelle in Apache Traffic Server ermöglicht u. a. HTTP-Request-Smuggling-Angriff

CVE-2022-28129

Schwachstelle in Apache Traffic Server ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2022-31778

Schwachstelle in Apache Traffic Server ermöglicht Cache-Poisoning-Angriff

CVE-2022-31779

Schwachstelle in Apache Traffic Server ermöglicht HTTP-Request-Smuggling-Angriff

CVE-2022-31780