Apache Traffic Server: Argument-Injection im experimentellen magick-Plugin

Zusammenfassung

Das experimentelle magick-Plugin von Apache Traffic Server übergibt in der Standardkonfiguration vom Client gelieferte Query-Strings ungefiltert an das convert-Dienstprogramm von ImageMagick. Ein nicht authentifizierter Angreifer aus dem Netz kann die convert-Argumente steuern, was der CNA als kritisch mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit einstuft. Das Plugin ist standardmässig nicht aktiv und muss in plugin.config explizit geladen werden; das Risiko ist am höchsten, wenn kein Signierschlüssel konfiguriert ist.

Betroffen

• Apache Traffic Server 8.0.1 bis 8.1.11
• Apache Traffic Server 9.0.0 bis 9.2.15
• Apache Traffic Server 10.0.0 bis 10.1.4
• Apache Traffic Server 10.2.0 (gemäss CNA-Eintrag in der Standardkonfiguration nicht betroffen)

Behoben in

• 9.x auf 9.2.16 aktualisieren
• 10.1.x auf 10.1.5 aktualisieren
• 10.2.0 auf 10.2.1 aktualisieren
• 8.x: Unbekannt. In den geprüften Quellen wurde keine korrigierte Version gefunden; die ASF oder die Distribution anfragen.

Umgehung

• Das magick-Plugin entladen, falls es nicht benötigt wird.
• Für das magick-Plugin einen Signierschlüssel konfigurieren.
• Weitere experimentelle Plugins (etwa tsmemcache und wasm) deaktivieren, falls sie nicht benötigt werden.
• plugin.config prüfen; die Standardkonfiguration ist leer, daher ist das Plugin nur aktiv, wenn es hinzugefügt wurde.

Ausnutzung

• Ein öffentlicher Proof of Concept existiert: Ein Sicherheitsforschungsteam hat am 13. Oktober 2026 und damit vor der CVE-Vergabe einen Bericht veröffentlicht. Gemäss Bericht lässt sich damit unter dem Benutzer von Traffic Server eine Datei schreiben, wenn das Plugin ohne Verify-Schlüssel geladen ist und die policy.xml von ImageMagick den convert-Pfad erlaubt.
• Es ist keine aktive Ausnutzung bekannt; im CISA-KEV-Katalog ist die Schwachstelle nicht aufgeführt.
• Der EPSS-Wert ist niedrig (ca. 0,5 %).
• Der NVD-Eintrag befand sich zum Zeitpunkt der Erstellung noch in Analyse, daher stammt der CVSS-Wert von der CNA.

Unsere Empfehlung

• Prüfen, ob eine Apache-Traffic-Server-Instanz existiert und ob das magick-Plugin geladen ist.
• Falls das magick-Plugin geladen ist, es umgehend entladen oder einen Signierschlüssel konfigurieren.
• Auf 9.2.16, 10.1.5 oder 10.2.1 aktualisieren, je nach Version.
• Für 8.x beim Hersteller oder bei der Distribution nach einer Korrektur fragen.
• Prüfen, ob die Traffic-Server-Instanz aus dem Internet erreichbar ist, und den Zugriff wo möglich einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• ASF mailing list announcement lists.apache.org
• Apache Traffic Server security page 2026-10 trafficserver.apache.org
• Ubuntu security tracker ubuntu.com
• Rescana security release summary www.rescana.com
• SecurityOnline vulnerability overview securityonline.info
• Public proof of concept repository github.com
• NVD entry via Vulners vulners.com
• Strix CVE overview www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:04.