Apache Traffic Server多个安全缝隙

颁布功夫 2021-06-30

0x00 缝隙概述

产品名称

CVE ID

描述

缝隙等级

远程利用

Apache Traffic Server

CVE-2021-27577

缓存中毒

中危

是

CVE-2021-32565

HTTP要求走私

中危

CVE-2021-32566

Dos

高危

CVE-2021-32567

频仍读取

中危

CVE-2021-35474

仓库缓冲区溢出

高危

 

0x01 缝隙详情

image.png

Apache Traffic Server? （ATS）软件是一种急剧、可扩大的HTTP/1.1 和 HTTP/2 兼容的开源Web缓存代理服务器，现为Apache 软件基金会的顶级项目。

近日，Apache Traffic Server被披露存在多个安全缝隙，这将导致ATS容易受到各类 HTTP/1.x 和 HTTP/2 攻击。

本次披露的缝隙蕴含：

CVE-2021-27577：Apache Traffic Server的url片段处置谬误导致缓存中毒（中危）

CVE-2021-32565：通过界说Content-Length字段实现HTTP要求走私（中危）

CVE-2021-32566：HTTP/2 帧的特定序列可能导致 ATS 崩溃（高危）

CVE-2021-32567：屡次读取 HTTP/2 �。ㄖ形＃�

CVE-2021-35474：cachekey插件中的动态仓库缓冲区溢出（高危）

 

影响领域

ATS 7.0.0 - 7.1.12

ATS 8.0.0 - 8.1.1

ATS 9.0.0 - 9.0.1

 

0x02 措置建议

目前这些缝隙已经建复，建议升级至以下版本：

7.x 用户：升级到 8.1.2 或 9.0.2 或更高版本

8.x 用户：升级到 8.1.2 或更高版本

9.x 用户：升级到 9.0.2 或更高版本

下载链接：

https://trafficserver.apache.org/downloads

 

0x03 参考链接

https://lists.apache.org/thread.html/ra1a41ff92a70d25bf576d7da2590575e8ff430393a3f4a0c34de4277%40%3Cannounce.trafficserver.apache.org%3E

https://trafficserver.apache.org/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-32565

 

0x04 功夫线

2021-06-24  缝隙披露

2021-06-30  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：http://www.first.org/cvss/

image.png