Apache Traffic Server: Fehlende Authentifizierung im tsmemcache-Plugin
Zusammenfassung
Das experimentelle tsmemcache-Plugin von Apache Traffic Server erlaubt einen unauthentifizierten Netzwerkzugriff auf den gemeinsam genutzten Proxy-Cache, wodurch ein Angreifer zwischengespeicherte Inhalte lesen, schreiben und löschen kann. Voraussetzung ist, dass das Plugin geladen ist und sein Netzwerkport von anderen Hosts erreichbar ist. Die ASF stuft das Problem als moderat ein (CVSS 3.1: 9.0), während der CVSS-4.0-Wert im CVE-Eintrag 9.4 beträgt; die Analyse durch NVD steht noch aus.
Betroffen
- Apache Traffic Server 8.0.0 bis 8.1.11
- Apache Traffic Server 9.0.0 bis 9.2.15
- Apache Traffic Server 10.0.0 bis 10.1.4
- Apache Traffic Server 10.2.0 (Standardkonfiguration: nicht betroffen)
Behoben in
- 9.2.16 oder neuer (9.2.x-Linie)
- 10.1.5 oder neuer (10.1.x-Linie)
- 10.2.1 oder neuer (10.2.x-Linie)
- 8.x: Unbekannt. Keine korrigierte 8.x-Version gefunden; als End-of-Life oder ungepatcht behandeln und bei der ASF bestätigen lassen.
Umgehung
- Kein offizieller Workaround gefunden.
- Übergangsmassnahme (keine Herstelleranweisung): die tsmemcache-Zeile in plugin.config entfernen, ATS neu starten und den memcache-Port (Standard 11211) für nicht vertrauenswürdige Netze blockieren.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog aufgeführt.
- Ein sekundärer Bericht behauptet, dass ein Proof of Concept existiert; dies ist unverifiziert, und es wurde kein öffentlicher PoC gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, ob ATS eingesetzt wird und ob das tsmemcache-Plugin in plugin.config aktiviert ist.
- Falls aktiviert und von nicht vertrauenswürdigen Netzen erreichbar, die Aktualisierung auf 9.2.16, 10.1.5 oder 10.2.1 priorisieren oder als Übergangsmassnahme das Plugin deaktivieren und den Port blockieren.
- 8.x-Installationen ersetzen, da keine korrigierte 8.x-Version gefunden wurde.
- Den gemeinsam genutzten Cache auf unerwartete Änderungen oder Löschungen überwachen.
- Falls ATS nicht verwendet wird, ist keine Massnahme nötig.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list announcement lists.apache.org
- Ubuntu security notice ubuntu.com
- HOL CVE details hol.org
- Apache Traffic Server memcache plugin documentation docs.trafficserver.apache.org
- Vulners CVE record (CNA data) vulners.com
- Rescana analysis www.rescana.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:57.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.