Apache Traffic Server: Cache Poisoning über fehlerhafte 302-Antwort
Zusammenfassung
Eine Schwachstelle in Apache Traffic Server erlaubt es, dass eine fehlerhafte HTTP-302-Antwort die Zurückweisung als Parse-Fehler umgeht, weil eine Ausnahme für Transfer-Encoding: chunked greift. Der Proxy speichert und liefert die Antwort anschliessend aus, obwohl zwei Gegenstellen sie unterschiedlich interpretieren können. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann so den Cache vergiften und das Framing von Antworten desynchronisieren, sofern Caching aktiviert ist und zwischengespeicherte Antworten andere Benutzer erreichen.
Betroffen
- Apache Traffic Server 8.0.0 bis 8.1.11
- Apache Traffic Server 9.0.0 bis 9.2.15
- Apache Traffic Server 10.0.0 bis 10.1.4
- Apache Traffic Server 10.2.0
Behoben in
- 9.2.16
- 10.1.5
- 10.2.1
Hinweis: Die Korrektur in 9.2.16 sollte auf der Advisory-Seite von Apache überprüft werden, da eine Passage in einer Sekundärquelle unklar ist. Status in Distributionspaketen: Unbekannt.
Umgehung
Unbekannt. Für diese CVE wurde keine Workaround-Massnahme identifiziert; das Aktualisieren ist die dokumentierte Korrektur.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell
- Nicht in CISA KEV aufgeführt; EPSS unter 1 Prozent
- Kein öffentlicher Proof of Concept gefunden; dies schliesst nicht aus, dass einer existiert
Unsere Empfehlung
- Prüfen, ob Apache Traffic Server im Einsatz ist, auch innerhalb von Produkten von Herstellern oder Hosting-Anbietern
- Auf 9.2.16, 10.1.5 oder 10.2.1 (oder neuer) aktualisieren, passend zur eingesetzten Release-Linie
- Installierte Version nach dem Update überprüfen
- Die Exponierung von Proxy bzw. Cache nach Möglichkeit einschränken und das Advisory von Apache sowie CISA KEV auf Updates überwachen
- Priorisierung nach CVSS-4.0-Wert 9.2 (Bewertung durch Hersteller/CNA; VulDB bewertet mit 7.3)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Traffic Server security advisory (October 2026) trafficserver.apache.org
- Apache mailing list advisory thread lists.apache.org
- OpenCVE record CVE-2026-111816 app.opencve.io
- Vulners NVD record CVE-2026-111816 vulners.com
- VulDB entry 424967 vuldb.com
- Rescana analysis of the October 2026 security release www.rescana.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.