CVE-2026-58154

Apache Traffic Server — zapis poza granicami bufora przy parsowaniu nagłówków MIME/HTTP

CVSS 9.2v4.0pub. 2026-07-29upd. 2026-08-03

Apache Traffic Server zawiera podatność typu out-of-bounds write (CWE-787) podczas przetwarzania nagłówków MIME i HTTP. Błąd otrzymał ocenę CVSS 9.2 (CRITICAL) i może zostać wykorzystany zdalnie bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

Apache Traffic Server can write out of bounds or overflow integers while parsing MIME and HTTP headers. This issue affects Apache Traffic Server: from 8.0.0 through 8.1.9, from 9.0.0 through 9.2.14, from 10.0.0 through 10.1.3. Users are recommended to upgrade to version 9.2.15 or 10.1.4, which fix the issue.

🤖 Analiza AI

Jak działa

Podczas parsowania nagłówków MIME i HTTP serwer Apache Traffic Server może wykonać zapis poza granicami przydzielonego bufora lub doprowadzić do przepełnienia wartości całkowitych (integer overflow). Specjalnie spreparowane nagłówki HTTP przesłane przez nieuwierzytelnionego atakującego mogą wywołać ten błąd. Wektor ataku jest sieciowy, nie wymaga żadnych uprawnień ani interakcji użytkownika.

Skutki

Atakujący może doprowadzić do uszkodzenia pamięci procesu, co może skutkować zdalnym wykonaniem kodu (RCE) lub destabilizacją i niedostępnością serwera. Podatność zagraża poufności, integralności oraz dostępności systemu.

Mitygacja

Należy zaktualizować Apache Traffic Server do wersji 9.2.15 lub 10.1.4, które zawierają poprawkę eliminującą podatność. Gałąź 8.x nie otrzymuje wskazanej poprawki — zalecana migracja do wspieranej gałęzi.

Kogo dotyczy

Apache Traffic Server w wersjach od 8.0.0 do 8.1.9, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X