Apache Traffic Server: Session-Wiederverwendung mit falschem Client-Zertifikat
Zusammenfassung
Apache Traffic Server (ATS) kann mit der Standard-Richtlinie für die ausgehende Session-Freigabe eine gepoolte TLS-Session wiederverwenden, die mit einem Client-Zertifikat authentifiziert wurde, obwohl die Transaktion ein anderes Client-Zertifikat präsentieren soll. Ein Angreifer, der Anfragen über ATS beeinflussen kann, kann dadurch erreichen, dass ein Origin-Server eine falsche Client-Identität akzeptiert, was dort relevant ist, wo Origins Client-Zertifikate zur Zugriffskontrolle nutzen. Die NVD-Erfassung bewertet den Fehler mit CVSS 4.0 7.8 (hoch), der Hersteller stuft ihn als wichtig ein; das Risiko betrifft nur Umgebungen, in denen ATS Client-Zertifikate (mTLS) gegenüber Origin-Servern präsentiert.
Betroffen
- Apache Traffic Server 9.0.0 bis 9.2.15
- Apache Traffic Server 10.0.0 bis 10.1.4
- Apache Traffic Server 10.2.0 (Standardkonfiguration laut Hersteller nicht betroffen)
Behoben in
- Apache Traffic Server 9.2.16
- Apache Traffic Server 10.1.5
- Apache Traffic Server 10.2.1
Umgehung
Unbekannt.
- Für die gepatchten Versionen wurde kein vom Hersteller dokumentierter Workaround gefunden.
- Installationen ohne konfiguriertes ausgehendes Client-Zertifikat sind Berichten zufolge nicht betroffen.
Ausnutzung
- Nicht bekanntermassen in freier Wildbahn ausgenutzt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- EPSS 0.00235 (sehr niedrig).
- Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Alle ATS-Instanzen erfassen und prüfen, ob sie Client-Zertifikate (mTLS) gegenüber Origin-Servern präsentieren.
- Betroffene Instanzen auf 9.2.16, 10.1.5 oder 10.2.1 aktualisieren; Instanzen mit mTLS zu Origins zuerst.
- Die weiteren Oktober-2026-Korrekturen derselben Apache-Version in das Update einbeziehen.
- Bis zum Patch prüfen, ob Origins Zertifikate zur Zugriffskontrolle nutzen, und die Zugriffsprotokolle auf unerwartete Client-Identitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Traffic Server security advisory October 2026 trafficserver.apache.org
- Apache mailing list announcement lists.apache.org
- NVD mirror (Vulners) CVE-2026-111814 vulners.com
- Ubuntu security notice CVE-2026-111814 ubuntu.com
- CVE record mirror (ThreatInt) cve.threatint.com
- OpenCVE CVE-2026-111814 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.