Apache Traffic Server: Request Smuggling über wiederverwendete Origin-Verbindung
Zusammenfassung
Apache Traffic Server (ATS), ein caching Forward- und Reverse-Proxy, kann eine Origin-Verbindung an den Pool zurückgeben, während der Origin noch auf einen Request-Body wartet, den der Client angekündigt, aber nicht vollständig gesendet hat. Dies gilt auch bei Expect: 100-continue. Der Origin liest dann den nächsten Request auf dieser Verbindung als Rest des Bodys. Ein entfernter, nicht authentifizierter Angreifer kann dies ausnutzen, um Requests an den ATS-Zugriffskontrollen vorbeizuschmuggeln, Requests anderer Benutzer zu stören oder den Cache zu vergiften. Der Hersteller stuft das Problem als wichtig ein (CVSS 4.0 9.1, kritisch laut Eingabedaten).
Betroffen
- Apache Traffic Server 8.0.0 bis 8.1.11
- Apache Traffic Server 9.0.0 bis 9.2.15
- Apache Traffic Server 10.0.0 bis 10.1.4
- Apache Traffic Server 10.2.0
Behoben in
- 9.2.x: behoben in 9.2.16
- 10.1.x: behoben in 10.1.5
- 10.2.x: behoben in 10.2.1
- 8.x: Unbekannt. Es wurde kein behobenes 8.x-Release gefunden; 8.x ist als end-of-life zu behandeln.
Umgehung
Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden; das Einspielen des Patches ist die genannte Massnahme.
Ausnutzung
- Nicht bekanntermassen in freier Wildbahn ausgenutzt; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden; EPSS liegt unter 1%.
Unsere Empfehlung
- Alle Apache-Traffic-Server-Instanzen identifizieren, auch jene, die in anderen Produkten mitgeliefert werden.
- Auf 9.2.16, 10.1.5 oder 10.2.1 aktualisieren, je nach verwendetem Branch.
- Eine Migration von jeder 8.x-Installation planen, da kein behobenes 8.x-Release bekannt ist.
- Dasselbe Release einspielen, das auch verwandte Request-Smuggling-Probleme wie CVE-2026-111809 behebt.
- Proxy- und Origin-Logs bis zur Aktualisierung auf fehlerhafte Requests und unerwartete Cache-Inhalte überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Traffic Server mailing list announcement lists.apache.org
- Apache Traffic Server security advisory 2026-10 trafficserver.apache.org
- Ubuntu security notice CVE-2025-31699 ubuntu.com
- VulDB entry 424946 vuldb.com
- Rescana: ATS security release October 2026 www.rescana.com
- OpenCVE CVE-2025-31699 app.opencve.io
- Vulners Rapid7 CVE-2025-31699 vulners.com
- Strix CVE-2025-31699 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:35.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.