Apache Traffic Server: Log-Flooding-Denial-of-Service über interne @-Header
Zusammenfassung
Apache Traffic Server schreibt für jeden internen, mit @ beginnenden Header, den er entfernt, eine ungedrosselte Diagnosezeile ins Log. Eine Anfrage mit vielen solchen Headern führt dazu, dass der Proxy weit mehr Logdaten schreibt, als die Anfrage selbst enthält. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann dies ausnutzen, um den Logspeicher zu füllen und den Dienst zu stören, sofern die betroffene Version erreichbar ist.
Betroffen
- Apache Traffic Server 9.2.15
- Apache Traffic Server 10.1.4
- Apache Traffic Server 10.2.0
- Frühere Versionen sind im CVE-Eintrag nicht als betroffen aufgeführt.
Behoben in
- Apache Traffic Server 9.2.16
- Apache Traffic Server 10.1.5
- Apache Traffic Server 10.2.1
Umgehung
Unbekannt.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung partial.
- EPSS ist sehr niedrig (0.0036).
Unsere Empfehlung
- Prüfen Sie, ob Apache Traffic Server in Ihrer Umgebung eingesetzt wird, z. B. als Reverse Proxy, Edge-Cache oder CDN-Komponente.
- Aktualisieren Sie so bald wie möglich auf 9.2.16, 10.1.5 oder 10.2.1.
- Prüfen Sie Paketupdates beim Security-Tracker Ihrer Linux-Distribution, da keine bestätigten gepatchten Distributionspakete gefunden wurden.
- Stellen Sie bis zum Patch sicher, dass Log-Partitionen freien Speicher haben und die Log-Rotation funktioniert, und beschränken Sie den Zugriff auf öffentlich erreichbare Instanzen, wo möglich.
- Überwachen Sie die Speicherbelegung der Log-Partitionen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache advisory trafficserver.apache.org
- Apache mailing list thread lists.apache.org
- Ubuntu security tracker ubuntu.com
- VulDB vuldb.com
- Vulners CVE record vulners.com
- HOL Guard CVE page hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:57.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.