p PatchFirst

CVE-2023-38522

CVE-2023-38522 · Apache Traffic Server: Incomplete field name check allows request smuggling

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Apache Traffic Server accepts characters that are not allowed for HTTP field names and forwards malformed requests to origin servers. This can be utilized for request smuggling and may also lead cache poisoning if the origin servers are vulnerable. This issue affects Apache Traffic Server: from 8.0.0 through 8.1.10, from 9.0.0 through 9.2.4. Users are recommended to upgrade to version 8.1.11 or 9.2.5, which fixes the issue.

CVSS 7.5 · Высокий · EPSS 1,0% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • apache traffic server

    Версии
    • ≥ 8.0.0, ≤ 8.1.10: Затронуто (semver)
    • ≥ 9.0.0, ≤ 9.2.4: Затронуто (semver)

    Нет опубликованного исправления

  • trafficserver Debian:12

    Версии
    • 9.2.0+ds-2
    • 9.2.0+ds-2+deb12u1
    • 9.2.1+ds-1
    • 9.2.2+ds-1
    • 9.2.3+ds-1
    • 9.2.3+ds-1+deb12u1
    • 9.2.4+ds-0+deb12u1
    • 9.2.4+ds-1
    • 9.2.4+ds-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 9.2.5+ds-0+deb12u1

    Обновитесь до 9.2.5+ds-0+deb12u1

  • trafficserver Ubuntu:16.04:LTS

    Версии
    • 5.3.0-2ubuntu1
    • 5.3.0-2ubuntu2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • trafficserver Ubuntu:18.04:LTS

    Версии
    • 7.0.0-5
    • 7.1.2+ds-2
    • 7.1.2+ds-2build1
    • 7.1.2+ds-3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • trafficserver Ubuntu:Pro:20.04:LTS

    Версии
    • 8.0.5+ds-1
    • 8.0.5+ds-2
    • 8.0.5+ds-2build1
    • 8.0.5+ds-2ubuntu1
    • 8.0.5+ds-3
    • 8.0.5+ds-3ubuntu0.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • trafficserver Ubuntu:Pro:22.04:LTS

    Версии
    • 8.1.1+ds-1.1
    • 9.1.1+ds-2build1
    • 9.1.1+ds-2ubuntu0.1~esm1
    • 9.1.1+ds-2ubuntu0.1
    • 9.1.1+ds-2ubuntu0.1+esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • trafficserver Ubuntu:24.04:LTS

    Версии
    • 9.2.1+ds-1build1
    • 9.2.2+ds-1
    • 9.2.3+ds-1
    • 9.2.3+ds-1+deb12u1
    • 9.2.3+ds-1+deb12u1build1
    • 9.2.3+ds-1+deb12u1build3
    • 9.2.3+ds-1+deb12u1build4
    • 9.2.3+ds-1+deb12u1ubuntu0.1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →