Apache Traffic Server: Use-after-free im experimentellen wasm-Plugin

Zusammenfassung

Das experimentelle wasm-Plugin von Apache Traffic Server 10.0.0 bis 10.1.4 und 10.2.0 enthält einen Use-after-free im Handler für das Schliessen von Transaktionen und leitet nicht validierte, vom Gastmodul gelieferte Metrik-IDs an die interne Stats-API weiter. Ein Angreifer aus dem Netzwerk ohne Anmeldung könnte den Server möglicherweise zum Absturz bringen oder Code ausführen, jedoch nur, wenn das wasm-Plugin geladen ist. Standardinstallationen ohne dieses Plugin sind nicht betroffen.

Betroffen

• Apache Traffic Server 10.0.0 bis 10.1.4
• Apache Traffic Server 10.2.0
• Nur Instanzen mit geladenem experimentellem wasm-Plugin
• Unbekannt, ob 9.x-Versionen betroffen sind (widersprüchliche Angaben, siehe Empfehlung)

Behoben in

• Apache Traffic Server 10.1.5 (für 10.1.x)
• Apache Traffic Server 10.2.1 (für 10.2.x)
• Korrektur für 9.2.x: Unbekannt, muss anhand der Herstellerankündigung geprüft werden

Umgehung

• Keine vom Hersteller dokumentierte Zwischenlösung bekannt.
• Unbestätigt: Das Entladen des wasm-Plugins entfernt den betroffenen Codepfad, sofern es nicht benötigt wird. Vor dem Einsatz prüfen.

Ausnutzung

• Keine Berichte über aktive Ausnutzung bekannt. Laut den Research-Notizen nicht im CISA-KEV-Katalog aufgeführt.
• Ein öffentlicher Proof of Concept wird von einem Drittanbieter behauptet, ist aber unbestätigt.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.

Unsere Empfehlung

• Alle Apache-Traffic-Server-Instanzen erfassen und prüfen, ob das wasm-Plugin geladen ist.
• Ist das Plugin geladen und die Version 10.0.0 bis 10.1.4 oder 10.2.0, auf 10.1.5 bzw. 10.2.1 aktualisieren; Instanzen mit Internetzugang priorisieren.
• Ist das Plugin nicht geladen, den Eintrag als tiefe Priorität einstufen und den NVD-Eintrag nach Veröffentlichung der Analyse erneut prüfen.
• Den Status von 9.2.x auf der Herstellerseite zur Sicherheitsankündigung prüfen, bevor Tickets zu 9.2.x geschlossen werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Apache Traffic Server security advisory October 2026 trafficserver.apache.org
• Apache mailing list thread on CVE-2026-111804 lists.apache.org
• NVD / Vulners record CVE-2026-111804 vulners.com
• CISA KEV alert 26 October 2026 www.cisa.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:07.