Apache Traffic Server多个宁静漏洞

宣布时间 2021-06-30

0x00 漏洞概述

产物名称

CVE ID

描述

漏洞品级

远程利用

Apache Traffic Server

CVE-2021-27577

缓存中毒

中危

是

CVE-2021-32565

HTTP请求走私

中危

CVE-2021-32566

Dos

高危

CVE-2021-32567

频繁读取

中危

CVE-2021-35474

堆栈缓冲区溢出

高危

 

0x01 漏洞详情

image.png

Apache Traffic Server? （ATS）软件是一种快速、可扩展的HTTP/1.1 和 HTTP/2 兼容的开源Web缓存署理服务器，现为Apache 软件基金会的顶级项目。

近日，Apache Traffic Server被披露存在多个宁静漏洞，这将导致ATS容易受到种种 HTTP/1.x 和 HTTP/2 攻击。

本次披露的漏洞包罗：

CVE-2021-27577：Apache Traffic Server的url片段处置错误导致缓存中毒（中危）

CVE-2021-32565：通过界说Content-Length字段实现HTTP请求走私（中危）

CVE-2021-32566：HTTP/2 帧的特定序列可能导致 ATS 瓦解（高危）

CVE-2021-32567：多次读取 HTTP/2 �。ㄖ形＃�

CVE-2021-35474：cachekey插件中的动态堆栈缓冲区溢出（高危）

 

影响范围

ATS 7.0.0 - 7.1.12

ATS 8.0.0 - 8.1.1

ATS 9.0.0 - 9.0.1

 

0x02 处置建议

目前这些漏洞已经修复，建议升级至以下版本：

7.x 用户：升级到 8.1.2 或 9.0.2 或更高版本

8.x 用户：升级到 8.1.2 或更高版本

9.x 用户：升级到 9.0.2 或更高版本

下载链接：

https://trafficserver.apache.org/downloads

 

0x03 参考链接

https://lists.apache.org/thread.html/ra1a41ff92a70d25bf576d7da2590575e8ff430393a3f4a0c34de4277%40%3Cannounce.trafficserver.apache.org%3E

https://trafficserver.apache.org/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-32565

 

0x04 时间线

2021-06-24  漏洞披露

2021-06-30  VSRC宣布宁静通告

 

0x05 附录

 

CVSS评分尺度官网：http://www.first.org/cvss/

image.png