Apache Traffic Server uri_signing 插件存在拒绝服务漏洞-低调大师

Apache Traffic Server uri_signing 插件存在拒绝服务漏洞

2022-12-20 457

漏洞描述

Apache Traffic Serve（ATS）是一个开源的 HTTP/1.1 和 HTTP/2 缓存代理服务器，uri_signing 是 ATS 的一款 URI 签名插件。

Apache Traffic Server 的受影响版本中的 uri_signing 插件存在拒绝服务漏洞，漏洞源于 validate_jws 方法未对 JWT token 中的 iss 字段进行有效验证，导致 ATS 服务在解析 JWT token 时由于空指针异常而崩溃。恶意客户端用户可利用此漏洞向 ATS 服务器发送缺少 iss 字段的 JWT token 造成 ATS 服务器拒绝服务并自动重启。

漏洞名称	Apache Traffic Server uri_signing 插件存在拒绝服务漏洞
漏洞类型	对因果或异常条件的不恰当检查
发现时间	2022-12-20
漏洞影响广度	一般
MPS编号	MPS-2022-17847
CVE编号	CVE-2022-32749
CNVD编号	-

影响范围

apache/trafficserver@[8.0.0, 8.1.5)

apache/trafficserver@[9.0.0, 9.1.3)

修复方案

升级apache/trafficserver到 8.1.5 或 9.1.3 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-17847

https://nvd.nist.gov/vuln/detail/CVE-2022-32749

https://github.com/apache/trafficserver/issues/8874

https://github.com/apache/trafficserver/commit/bcb4c5625620408a763046cd57a83b9d01be9808

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/222172

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

BuildAdmin-v1.0.2-20220629 发布

增加前台会员中心安装器增加NPM源自动设置选项 CRUD：增加tinyint(1)类型的字段在符合条件下自动生成为单选框 baInput：单选/复选框/下拉框默认值传递数字支持 baInput：优化年份选择器 baInput：文件上传组件增加预览响应 web端布局(layouts)内的目录结构调整增加跨域代理配置示例，提供给有需要的小伙伴（感谢@ttdms）增加邮件发送类、增加phpMailer依赖、系统邮件配置增加测试邮件发送功能后台右侧菜单增加清理缓存按钮会员余额以分为单位保存到数据库，并在模型层做转换处理附件管理增加上传会员字段优化富文本编辑器滚动条样式、通用弹窗表单增加圆角更新wangeditor依赖版本到5.1.1 增加会员资料的状态商店、优化后台登录状态判断逻辑表格开关类型字段的公共搜索使用下拉框渲染重构了站点首页更新font-awesome的资源地址到国内CDN 去除build:online命令，使用build代替图片和文件上传组件请求上传接口时可以携带额外数据修复热更新后管理员登录态可能丢失的问题(优化isAdminApp函数逻辑) 修复动态切...

2022-12-20

463

漏洞描述 Apache Traffic Serve（ATS）是一个开源的 HTTP/1.1 和 HTTP/2 缓存代理服务器，uri_signing 是 ATS 的一款 URI 签名插件，用来阻止所有不具有有效 JWT 的请求。 Apache Traffic Server 的受影响版本中存在拒绝服务漏洞，漏洞源于 validate_jws 方法未对 JWT token 中的 iss 字段进行有效验证，导致 ATS 服务在解析缺少 iss 字段的 JWT token 时由于空指针异常而崩溃。当 ATS 服务器启用 uri_signing 插件时，ATS 客户端用户可通过向服务器发送恶意构造的 JWT token 造成拒绝服务并自动重启。漏洞名称 Apache Traffic Server 存在拒绝服务漏洞漏洞类型对因果或异常条件的不恰当检查发现时间 2022-12-20 漏洞影响广度一般 MPS编号 MPS-2022-17847 CVE编号 CVE-2022-32749 CNVD编号 - 影响范围 apache/trafficserver@[8.0.0, 8.1.5) apa...

2022-12-20

507

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。