Apache Traffic Server 存在拒绝服务漏洞
漏洞描述
Apache Traffic Serve（ATS） 是一个开源的 HTTP/1.1 和 HTTP/2 缓存代理服务器，uri_signing 是 ATS 的一款 URI 签名插件，用来阻止所有不具有有效 JWT 的请求。
Apache Traffic Server 的受影响版本中存在拒绝服务漏洞，漏洞源于 validate_jws 方法未对 JWT token 中的 iss 字段进行有效验证，导致 ATS 服务在解析缺少 iss 字段的 JWT token 时由于空指针异常而崩溃。当 ATS 服务器启用 uri_signing 插件时，ATS 客户端用户可通过向服务器发送恶意构造的 JWT token 造成拒绝服务并自动重启。
| 漏洞名称 | Apache Traffic Server 存在拒绝服务漏洞 |
|---|---|
| 漏洞类型 | 对因果或异常条件的不恰当检查 |
| 发现时间 | 2022-12-20 |
| 漏洞影响广度 | 一般 |
| MPS编号 | MPS-2022-17847 |
| CVE编号 | CVE-2022-32749 |
| CNVD编号 | - |
影响范围
apache/trafficserver@[8.0.0, 8.1.5)
apache/trafficserver@[9.0.0, 9.1.3)
修复方案
升级apache/trafficserver到 8.1.5 或 9.1.3 或更高版本
参考链接
https://www.oscs1024.com/hd/MPS-2022-17847
https://nvd.nist.gov/vuln/detail/CVE-2022-32749
https://github.com/apache/trafficserver/issues/8874
https://github.com/apache/trafficserver/commit/bcb4c5625620408a763046cd57a83b9d01be9808
情报订阅
OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：
https://www.oscs1024.com/cm/?src=osc
具体订阅方式详见：
https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc
