CVE-2026-58179

Błąd polega na tym, że plugin regex_remap nie waliduje poprawnie długości danych wejściowych używanych do podstawiania (substitution input) podczas przetwarzania reguł przekierowania opartych na wyrażeniach regularnych. Skutkuje to przepełnieniem bufora na stosie (stack buffer overflow) oraz przepełnieniem liczb całkowitych (integer overflow). Atakujący może dostarczyć specjalnie spreparowane żądanie HTTP, które wywoła podatny kod ścieżki przetwarzania, prowadząc do uszkodzenia pamięci.

Atakujący może spowodować awarię procesu serwera (odmowa usługi) lub — w przypadku pomyślnego wykorzystania błędu — wykonać dowolny kod na serwerze z uprawnieniami procesu Apache Traffic Server (RCE). Poufność, integralność i dostępność systemu są zagrożone w wysokim stopniu.

Należy zaktualizować Apache Traffic Server do wersji 9.2.15 lub 10.1.4, które zawierają poprawkę. Dla gałęzi 8.x brak wskazanej wersji naprawczej — zaleca się migrację do wspieranej gałęzi 9.x lub 10.x. Tymczasowo można rozważyć wyłączenie pluginu regex_remap, jeśli nie jest niezbędny.

Apache Traffic Server w wersjach od 8.0.0 do 8.1.9, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3 — wyłącznie w konfiguracjach korzystających z pluginu regex_remap.

Podatność dotyczy wyłącznie instalacji, w których aktywnie używany jest plugin regex_remap. Wektory CVSS wskazują na brak konieczności interakcji użytkownika i brak wymaganych uprawnień, jednak atak wymaga spełnienia dodatkowych warunków (AT:P — wymagane szczególne warunki ataku).