Apache Traffic Server Range标头验证不当

漏洞描述

Apache Traffic Server（ATS）是一个开源的反向代理和缓存服务器。

受影响版本中，由于 HttpTransact 类未对无效 Range 标头进行过滤，并且 URL 类未对传入 URL 参数的重复斜杠进行过滤，攻击者可利用此漏洞对 Apache Traffic Server 进行访问控制、DOS 和缓存中毒攻击。

漏洞名称	Apache Traffic Server Range标头验证不当
漏洞类型	输入验证不恰当
发现时间	2023-08-09
漏洞影响广度	小
MPS编号	MPS-c850-3fjg
CVE编号	CVE-2023-33934
CNVD编号	-

影响范围

Apache Traffic Server@[8.0.0, 8.1.8)

Apache Traffic Server@[9.0.0, 9.2.2)

修复方案

升级Apache Traffic Server到 8.1.8、9.2.2 或更高版本

官方已发布补丁：https://github.com/apache/trafficserver/commit/3640b5f8daefe7f9a8d7c060f3f2a0cb04eb7532

官方已发布补丁：https://github.com/apache/trafficserver/commit/c50ee6c4f2ae32f2c849fccb5b0f367165fe9c20

参考链接

https://www.oscs1024.com/hd/MPS-c850-3fjg

https://nvd.nist.gov/vuln/detail/CVE-2023-33934

https://lists.apache.org/thread/jsl6dfdgs1mjjo1mbtyflyjr7xftswhc

https://github.com/apache/trafficserver/commit/c50ee6c4f2ae32f2c849fccb5b0f367165fe9c20

https://github.com/apache/trafficserver/commit/3640b5f8daefe7f9a8d7c060f3f2a0cb04eb7532

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc