Apache Traffic Server 存在拒绝服务漏洞

时间:2022-12-23 11:15:41

漏洞描述

Apache Traffic Serve(ATS) 是一个开源的 HTTP/1.1 和 HTTP/2 缓存代理服务器,uri_signing 是 ATS 的一款 URI 签名插件,用来阻止所有不具有有效 JWT 的请求。

Apache Traffic Server 的受影响版本中存在拒绝服务漏洞,漏洞源于 validate_jws 方法未对 JWT token 中的 iss 字段进行有效验证,导致 ATS 服务在解析缺少 iss 字段的 JWT token 时由于空指针异常而崩溃。当 ATS 服务器启用 uri_signing 插件时,ATS 客户端用户可通过向服务器发送恶意构造的 JWT token 造成拒绝服务并自动重启。

漏洞名称 Apache Traffic Server 存在拒绝服务漏洞
漏洞类型 对因果或异常条件的不恰当检查
发现时间 2022-12-20
漏洞影响广度 一般
MPS编号 MPS-2022-17847
CVE编号 CVE-2022-32749
CNVD编号 -

影响范围

apache/trafficserver@[8.0.0, 8.1.5)

apache/trafficserver@[9.0.0, 9.1.3)

修复方案

升级apache/trafficserver到 8.1.5 或 9.1.3 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-17847

https://nvd.nist.gov/vuln/detail/CVE-2022-32749

https://github.com/apache/trafficserver/issues/8874

https://github.com/apache/trafficserver/commit/bcb4c5625620408a763046cd57a83b9d01be9808

    

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式,发布开源项目最新的安全风险动态,包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务,社区用户可通过配置飞书、钉钉、企业微信机器人,及时获得一手情报信息推送:

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见:

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

Apache Traffic Server 存在拒绝服务漏洞