CVE-2023-33934

Apache Traffic Server — nieprawidłowa walidacja danych wejściowych (HTTP smuggling)

CVSS 9.1v3.1pub. 2023-08-09upd. 2025-02-13

Podatność klasy CWE-444 (HTTP Request/Response Smuggling) w Apache Traffic Server umożliwia atakującemu przeprowadzenie ataku polegającego na przemycaniu żądań HTTP. Błąd uzyskał ocenę CVSS 9.1, co klasyfikuje go jako podatność krytyczną.

▸ Pokaż oryginał (EN)

Improper Input Validation vulnerability in Apache Software Foundation Apache Traffic Server.This issue affects Apache Traffic Server: through 9.2.1.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej walidacji danych wejściowych (Improper Input Validation) w Apache Traffic Server, sklasyfikowanej jako CWE-444, czyli niespójne interpretowanie sekwencji żądań HTTP. Atakujący może spreparować odpowiednio skonstruowane żądania HTTP, które są interpretowane w różny sposób przez serwer proxy i serwer docelowy. Rozbieżność ta pozwala na przemycanie żądań (HTTP request smuggling), omijając mechanizmy bezpieczeństwa pośredniczące w komunikacji.

Skutki

Atakujący zdalny, nieuwierzytelniony może uzyskać nieautoryzowany dostęp do danych (naruszenie poufności) oraz manipulować żądaniami HTTP kierowanymi do serwerów backendowych (naruszenie integralności), w tym potencjalnie uzyskać dostęp do cudzych sesji lub zasobów.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Aktualizacje dostępne są również w ramach pakietów Debian (DSA-5549) oraz Fedora. Zaleca się niezwłoczne śledzenie oficjalnych ogłoszeń Apache Software Foundation pod adresem wskazanym w liście dyskusyjnej.