Apache Traffic Server uri_signing 插件存在拒绝服务漏洞-低调大师

Apache Traffic Server uri_signing 插件存在拒绝服务漏洞

2022-12-20 403

漏洞描述

Apache Traffic Serve（ATS）是一个开源的 HTTP/1.1 和 HTTP/2 缓存代理服务器，uri_signing 是 ATS 的一款 URI 签名插件。

Apache Traffic Server 的受影响版本中的 uri_signing 插件存在拒绝服务漏洞，漏洞源于 validate_jws 方法未对 JWT token 中的 iss 字段进行有效验证，导致 ATS 服务在解析 JWT token 时由于空指针异常而崩溃。恶意客户端用户可利用此漏洞向 ATS 服务器发送缺少 iss 字段的 JWT token 造成 ATS 服务器拒绝服务并自动重启。

漏洞名称	Apache Traffic Server uri_signing 插件存在拒绝服务漏洞
漏洞类型	对因果或异常条件的不恰当检查
发现时间	2022-12-20
漏洞影响广度	一般
MPS编号	MPS-2022-17847
CVE编号	CVE-2022-32749
CNVD编号	-

影响范围

apache/trafficserver@[8.0.0, 8.1.5)

apache/trafficserver@[9.0.0, 9.1.3)

修复方案

升级apache/trafficserver到 8.1.5 或 9.1.3 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-17847

https://nvd.nist.gov/vuln/detail/CVE-2022-32749

https://github.com/apache/trafficserver/issues/8874

https://github.com/apache/trafficserver/commit/bcb4c5625620408a763046cd57a83b9d01be9808

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/222172

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

BuildAdmin-v1.0.2-20220629 发布

增加前台会员中心安装器增加NPM源自动设置选项 CRUD：增加tinyint(1)类型的字段在符合条件下自动生成为单选框 baInput：单选/复选框/下拉框默认值传递数字支持 baInput：优化年份选择器 baInput：文件上传组件增加预览响应 web端布局(layouts)内的目录结构调整增加跨域代理配置示例，提供给有需要的小伙伴（感谢@ttdms）增加邮件发送类、增加phpMailer依赖、系统邮件配置增加测试邮件发送功能后台右侧菜单增加清理缓存按钮会员余额以分为单位保存到数据库，并在模型层做转换处理附件管理增加上传会员字段优化富文本编辑器滚动条样式、通用弹窗表单增加圆角更新wangeditor依赖版本到5.1.1 增加会员资料的状态商店、优化后台登录状态判断逻辑表格开关类型字段的公共搜索使用下拉框渲染重构了站点首页更新font-awesome的资源地址到国内CDN 去除build:online命令，使用build代替图片和文件上传组件请求上传接口时可以携带额外数据修复热更新后管理员登录态可能丢失的问题(优化isAdminApp函数逻辑) 修复动态切...

2022-12-20

415

漏洞描述 Apache Traffic Serve（ATS）是一个开源的 HTTP/1.1 和 HTTP/2 缓存代理服务器，uri_signing 是 ATS 的一款 URI 签名插件，用来阻止所有不具有有效 JWT 的请求。 Apache Traffic Server 的受影响版本中存在拒绝服务漏洞，漏洞源于 validate_jws 方法未对 JWT token 中的 iss 字段进行有效验证，导致 ATS 服务在解析缺少 iss 字段的 JWT token 时由于空指针异常而崩溃。当 ATS 服务器启用 uri_signing 插件时，ATS 客户端用户可通过向服务器发送恶意构造的 JWT token 造成拒绝服务并自动重启。漏洞名称 Apache Traffic Server 存在拒绝服务漏洞漏洞类型对因果或异常条件的不恰当检查发现时间 2022-12-20 漏洞影响广度一般 MPS编号 MPS-2022-17847 CVE编号 CVE-2022-32749 CNVD编号 - 影响范围 apache/trafficserver@[8.0.0, 8.1.5) apa...

2022-12-20

459

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。