KnowSafe 安全预警：Apache Traffic Server 输入验证错误漏洞（CVE-2022-25763）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-25763 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Apache Traffic Server（ATS）是美国阿帕奇（Apache）基金会的一套可扩展的HTTP代理和缓存服务器。

Apache Traffic Server 8.0.0版本至9.1.2版本存在安全漏洞，该漏洞源于 HTTP/2 请求验证中的输入验证不当。Apache Traffic Server 的 HTTP/2 请求验证中的不当输入验证漏洞允许攻击者创建走私或缓存毒药攻击。

影响范围

应用：apache traffic_server（影响面 Up to (including) 8.1.4）

应用：apache traffic_server（影响面 Up to (including) 9.1.2）

系统：debian_10 trafficserver（影响面 Up to (excluding) 8.0.2+ds-1+deb10u7）

系统：debian_11 trafficserver（影响面 Up to (excluding) 8.1.5+ds-1~deb11u1）

系统：debian_12 trafficserver（影响面 Up to (excluding) 9.1.3+ds-1）

系统：fedora_35 trafficserver（影响面 Up to (excluding) 9.1.3-1.fc35）

系统：fedora_36 trafficserver（影响面 Up to (excluding) 9.1.3-1.fc36）

系统：fedora_EPEL_7 trafficserver（影响面 Up to (excluding) 9.1.3-1.el7）

……另有 2 项受影响环境，详见官方公告

解决方案

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://lists.apache.org/thread/rc64lwbdgrkv674koc3zl1sljr9vwg21

参考信息

https://lists.apache.org/thread/rc64lwbdgrkv674koc3zl1sljr9vwg21

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/CJ67IWD5PRJUOIYIDJRUG3UMS2UF4X4J/

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ZCSBQBYPOZSWS5LCOAQ6LJLRLXFIAW5A/

https://www.debian.org/security/2022/dsa-5206

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。