Am 5. März 2025 wurde im Apache Traffic Server-Entwicklerforum berichtet, dass ATS (Apache Traffic Server) anfällig für fehlerhaft formatierte Anfragen sowie für Probleme mit Access Control Lists (ACL) ist. Der Apache Traffic Server ist ein weitverbreitetes Caching System auf Open Source Basis. Konkret wurden vier CVEs identifiziert:
- CVE-2024-38311: Ermöglicht Request Smuggling via Pipelining nach einem chunked Message Body
- CVE-2024-56195: Intercept-Plugins sind nicht ordnungsgemäß access controlled
- CVE-2024-56196: ACL ist nicht vollständig kompatibel mit älteren Versionen
- CVE-2024-56202: Der Expect-Header kann unangemessen Ressourcen blockieren
Betroffen sind ATS-Versionen 9.0.0 bis 9.2.8 (CVE-2024-38311, CVE-2024-56195, CVE-2024-56202) sowie Versionen 10.0.0 bis 10.0.3 (zusätzlich CVE-2024-56196). Als Gegenmaßnahme empfiehlt die Apache Software Foundation:
- 9.x Benutzer: Upgrade auf Version 9.2.9 oder später
- 10.x Benutzer: Upgrade auf Version 10.0.4 oder später
Ähnliche Beiträge:
Professionelle Hilfe erwünscht?
Sentiguard ist spezialisiert auf Notfallhilfe nach Cyberattacken, IT Sicherheitsbeauftragte und IT Sicherheitskonzepte nach BSI Standard. Haben Sie Fragen und wünschen Sie unverbindliche Beratung, dann melden Sie sich gerne bei uns: