KnowSafe 安全预警：Apache Traffic Server 安全漏洞（CVE-2022-31780）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-31780 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Apache Traffic Server（ATS）是美国阿帕奇（Apache）基金会的一套可扩展的HTTP代理和缓存服务器。

Apache Traffic Server 8.0.0 到 8.1.4版本、9.0.0到9.1.2版本存在安全漏洞，该漏洞源于HTTP/2 帧处理中输入验证不当。

影响范围

应用：apache traffic_server（影响面 Up to (including) 8.1.4）

应用：apache traffic_server（影响面 Up to (including) 9.1.2）

系统：debian_10 trafficserver（影响面 Up to (excluding) 8.0.2+ds-1+deb10u7）

系统：debian_11 trafficserver（影响面 Up to (excluding) 8.1.5+ds-1~deb11u1）

系统：debian_12 trafficserver（影响面 Up to (excluding) 9.1.3+ds-1）

系统：fedora_35 trafficserver（影响面 Up to (excluding) 9.1.3-1.fc35）

系统：fedora_36 trafficserver（影响面 Up to (excluding) 9.1.3-1.fc36）

系统：fedora_EPEL_7 trafficserver（影响面 Up to (excluding) 9.1.3-1.el7）

……另有 2 项受影响环境，详见官方公告

解决方案

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://lists.apache.org/thread/rc64lwbdgrkv674koc3zl1sljr9vwg21

参考信息

https://lists.apache.org/thread/rc64lwbdgrkv674koc3zl1sljr9vwg21

https://lists.debian.org/debian-lts-announce/2023/01/msg00019.html

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/CJ67IWD5PRJUOIYIDJRUG3UMS2UF4X4J/

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ZCSBQBYPOZSWS5LCOAQ6LJLRLXFIAW5A/

https://www.debian.org/security/2022/dsa-5206

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。