- Son 7 gün
- CWE-444
CVE-2025-31699
Apache Traffic Server'da istek gövdesi bekleyen bağlantının yeniden kullanılması istek smuggling saldırısına olanak tanıyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- apache
ÖzetTürkçe
Apache Traffic Server, istemcinin bildirdiği ancak tamamen göndermediği bir istek gövdesini hâlâ bekleyen origin bağlantısını, Expect: 100-continue kullanılmış olsa bile paylaşımlı havuza geri döndürebilir. Origin daha sonraki bir isteği bu bağlantıdaki artık gövde verisi olarak okur; bu da bir saldırganın ATS erişim denetimlerini aşarak istekleri gizlice iletmesine, diğer kullanıcıların isteklerini aksatmasına veya önbelleği zehirlemesine olanak tanır.
Bu sorun şu Apache Traffic Server sürümlerini etkiler: 8.0.0 ile 8.1.11 arası, 9.0.0 ile 9.2.15 arası, 10.0.0 ile 10.1.4 arası ve 10.2.0.
Kullanıcıların sorunu giderecek olan 9.2.16, 10.1.5 veya 10.2.1 sürümüne yükseltme yapmaları önerilir.
Kaynaktaki açıklama (İngilizce)
Apache Traffic Server can return an origin connection to the shared pool while the origin is still waiting on a request body the client declared but never fully sent, including when the client used Expect: 100-continue. The origin then reads a later request on that connection as leftover body data, which lets an attacker smuggle requests past ATS access controls, disrupt other users' requests, or poison the cache.
This issue affects Apache Traffic Server: from 8.0.0 through 8.1.11, from 9.0.0 through 9.2.15, from 10.0.0 through 10.1.4, 10.2.0.
Users are recommended to upgrade to version 9.2.16, 10.1.5, or 10.2.1, which fix the issue.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Traffic Server | ≥ 8.0.0, ≤ 8.1.11 | – |
| ≥ 9.0.0, ≤ 9.2.15 | – | |
| ≥ 10.0.0, ≤ 10.1.4 | – | |
| 10.2.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.