Katsutoshi Ikenoya

توجد مشكلة تتعلق بالتفسير غير المتسق لطلبات HTTP، والمعروفة باسم «تهريب طلبات/استجابات HTTP». ويحدث ذلك بسبب تحليل السلاسل المقتبسة داخل الامتدادات المقسمة إلى أجزاء.

يُعتبر Apache Traffic Server عرضة لـ ”تهريب الطلبات“ (request smuggling)، وهي تقنية يتدخل فيها المهاجم في الطريقة التي يعالج بها موقع الويب وخادم الوكيل الخاص به تسلسلات طلبات HTTP، عندما تكون الرسائل المقسمة إلى أجزاء (chunked messages) مشوهة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Apache Traffic Server من 9.0.0 إلى 9.2.12 ومن 10.0.0 إلى 10.1.1 الوصف يكون Apache Traffic Server عرضة لـ «تهريب الطلبات» (request smuggling) عند معالجة رسائل مقسمة إلى أجزاء (chunked messages) ذات تنسيق غير صحيح. وقد يؤدي ذلك إلى مشكلات أمنية متنوعة. التوصيات الترقية إلى الإصدار 9.2.13 أو 10.1.2.

The issue is caused by improper input validation in the Range Header Handler component of the Apache Traffic Server. This can be exploited by a remote attacker to cause a denial of service.

The issue is caused by improper input validation in the HTTP/2 component of Apache Traffic Server. This allows a remote attacker to cause a denial of service.