Apache Traffic Server – Malformed Requests und ACL-Probleme

Am 5. März 2025 wurde im Apache Traffic Server-Entwicklerforum berichtet, dass ATS (Apache Traffic Server) anfällig für fehlerhaft formatierte Anfragen sowie für Probleme mit Access Control Lists (ACL) ist. Der Apache Traffic Server ist ein weitverbreitetes Caching System auf Open Source Basis. Konkret wurden vier CVEs identifiziert:

  • CVE-2024-38311: Ermöglicht Request Smuggling via Pipelining nach einem chunked Message Body
  • CVE-2024-56195: Intercept-Plugins sind nicht ordnungsgemäß access controlled
  • CVE-2024-56196: ACL ist nicht vollständig kompatibel mit älteren Versionen
  • CVE-2024-56202: Der Expect-Header kann unangemessen Ressourcen blockieren

Betroffen sind ATS-Versionen 9.0.0 bis 9.2.8 (CVE-2024-38311, CVE-2024-56195, CVE-2024-56202) sowie Versionen 10.0.0 bis 10.0.3 (zusätzlich CVE-2024-56196). Als Gegenmaßnahme empfiehlt die Apache Software Foundation:

  • 9.x Benutzer: Upgrade auf Version 9.2.9 oder später
  • 10.x Benutzer: Upgrade auf Version 10.0.4 oder später
Tags :

Related Posts

Node.js - CVE Sicherheitslücken auch für EOL-Versionen angekündigt

Das Node.js-Team hat auf Sicherheitsupdates vom 21. Januar 2025 reagiert, indem es CVEs für End-of-Life (EOL) Versionen zugeordnet hat – CVE-2025-23087 (Node.js v17 und frühere Versionen), CVE-2025-23088 (Node.js v19) sowie CVE-2025-23089 (Node.js v21). Ziel war es, auf die anhaltenden Risiken veralteter Releases hinzuweisen, die weiterhin in vielen Umgebungen eingesetzt werden.

Read More

Potentielle Backdoor in ESP32-Chip betrifft Millionen IoT-Geräte

Das Tarlogic Innovation Team hat auf der RootedCON beichtet, dass im weit verbreiteten ESP32-Chip des chinesischen Herstellers Espressif, der in Millionen von IoT-Geräten für WiFi- und Bluetooth-Konnektivität eingesetzt wird, wurde eine bisher unbekannte Funktionalität gefunden. Diese versteckten, herstellerseitig nicht dokumentierten Befehle könnten als „Backdoor“ genutzt werden – oder, wie in einem späteren Update präziser formuliert, als proprietäre HCI-Befehle, die das System modifizieren können.

Read More

Hacker Angriff auf französischen TK Anbieter Orange - Group

Orange Group bestätigt Hackerangriff – Ein Hacker, der sich unter dem Alias „Rey“ ausgibt und der HellCat-Ransomware-Gruppe zugeordnet wird, hat angeblich fast 12.000 Dateien im Wert von rund 6,5 GB gestohlen. Dabei seien interne Dokumente, E-Mail-Adressen (insgesamt 380.000 einzigartige Adressen), Quellcodes, Verträge, Rechnungen sowie Mitarbeiter- und Kundendaten, vornehmlich der rumänischen Niederlassung, entwendet worden.

Read More