CVE-2024-50306

Apache Traffic Server — niezweryfikowana wartość zwrotna umożliwia zachowanie podwyższonych uprawnień

CVSS 9.1v3.1pub. 2024-11-14upd. 2025-11-03

Błąd w Apache Traffic Server polegający na ignorowaniu wartości zwracanej przez funkcję (CWE-252) pozwala procesowi serwera zachować podwyższone uprawnienia po uruchomieniu. Jest to krytyczna podatność, ponieważ serwer działający z niezamierzonymi uprawnieniami stwarza ryzyko naruszenia integralności systemu i jego dostępności bez konieczności uwierzytelnienia.

▸ Pokaż oryginał (EN)

Unchecked return value can allow Apache Traffic Server to retain privileges on startup. This issue affects Apache Traffic Server: from 9.2.0 through 9.2.5, from 10.0.0 through 10.0.1. Users are recommended to upgrade to version 9.2.6 or 10.0.2, which fixes the issue.

🤖 Analiza AI

Jak działa

Podczas startu Apache Traffic Server powinien obniżyć swoje uprawnienia (privilege drop) do poziomu zwykłego użytkownika. Na skutek niezweryfikowania wartości zwracanej przez odpowiednią funkcję systemową, operacja ta może zakończyć się niepowodzeniem bez wykrycia błędu przez aplikację. W rezultacie proces serwera kontynuuje działanie z zachowanymi, podwyższonymi uprawnieniami zamiast ograniczonymi. Atakujący mogący wpłynąć na działanie serwera może w konsekwencji uzyskać szerszy dostęp do systemu.

Skutki

Atakujący może wykorzystać fakt działania serwera z podwyższonymi uprawnieniami do modyfikowania krytycznych zasobów systemowych (naruszenie integralności) lub zakłócenia jego działania (naruszenie dostępności). Wektor sieciowy bez wymogu uwierzytelnienia zwiększa ryzyko zdalnego wykorzystania podatności.

Mitygacja

Należy zaktualizować Apache Traffic Server do wersji 9.2.6 (dla gałęzi 9.x) lub 10.0.2 (dla gałęzi 10.x), które zawierają poprawkę eliminującą podatność.