Katsutoshi Ikenoya

Existe um problema relacionado à interpretação inconsistente de requisições HTTP, conhecido como HTTP Request/Response Smuggling. Isso ocorre devido ao parsing de quoted-strings em extensões chunked.

O Apache Traffic Server está suscetível ao request smuggling, uma técnica onde um invasor interfere na maneira como um site e seu servidor proxy processam sequências de requisições HTTP, quando mensagens chunked estão malformadas.

Name of the Vulnerable Software and Affected Versions Apache Traffic Server versões 9.0.0 através de 9.2.12 e 10.0.0 através de 10.1.1 Description O Apache Traffic Server é suscetível a request smuggling quando processa mensagens chunked malformadas. Isso pode levar a vários problemas de segurança. Recommendations Atualize para a versão 9.2.13 ou 10.1.2.

The issue is caused by improper input validation in the Range Header Handler component of the Apache Traffic Server. This can be exploited by a remote attacker to cause a denial of service.

O problema é causado por uma validação inadequada de entradas no componente HTTP/2 do Apache Traffic Server. Isso permite que um invasor remoto provoque uma negação de serviço.