Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-444

CVE-2026-111809

Apache Traffic Server: HEAD isteklerinde istek smuggling (istek kaçırma) açığı

Apache Software Foundation Apache Traffic Server

Kritik 9,3 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
6 gün
Kaydı açan
apache

Yönetici özeti

Bu açık, web trafiğini yöneten bir sunucu yazılımında bulunuyor ve saldırganların diğer kullanıcıların isteklerine müdahale etmesine olanak tanıyabiliyor. Etkilenen sistemlerde veri sızıntısı ve hizmete güven kaybı gibi iş riskleri oluşabilir. Yama, sisteminizi koruma açısından acil olarak uygulanmalıdır.

ÖzetTürkçe

Apache Traffic Server, Content-Length veya Transfer-Encoding başlığı taşıyan HEAD isteklerini hatalı işlediği için istek smuggling (istek kaçırma) saldırısına açıktır. Etkilenen sürümler 8.0.0–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 ve 10.2.0'dır. Bu sürümleri kullanan ters vekil (reverse proxy) ve önbellek sunucuları risk altındadır.

Saldırgan ne yapabilir?

Saldırgan, ön uç ve arka uç sunucular arasındaki istek sınırlarını manipüle ederek başka kullanıcıların isteklerini ele geçirebilir veya bu isteklere kötü amaçlı içerik ekleyebilir. Bu, kimlik bilgilerinin çalınmasına ve kullanıcılara yönelik saldırılara yol açabilir.

Kaynaktaki açıklama (İngilizce)

Apache Traffic Server allows request smuggling via HEAD requests that carry Content-Length or Transfer-Encoding.

This issue affects Apache Traffic Server: from 8.0.0 through 8.1.11, from 9.0.0 through 9.2.15, from 10.0.0 through 10.1.4, 10.2.0.

Users are recommended to upgrade to version 9.2.16, 10.1.5, or 10.2.1, which fix the issue.

Ne yapmalı?

  1. Apache Traffic Server'ı, etkilenen sürüme göre 9.2.16, 10.1.5 veya 10.2.1 sürümlerinden birine yükseltin. Genel öneri
  2. Yükseltme yapamıyorsanız, sunucunuzu etkilenen sürüm aralığında olup olmadığını doğrulayın ve yükseltme tamamlanana kadar sunucuyu dış erişime karşı kısıtlamayı değerlendirin. Genel öneri

Ek önlemler

  • Ters vekil ve önbellek sunucusunun arka uç uygulamalarıyla arasındaki HTTP istek akışını ve olağandışı HEAD isteklerini izleyin. Genel öneri
  • Ön uç ve arka uç sunucuların HTTP ayrıştırma davranışlarının tutarlı olduğundan emin olun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Apache Software Foundation Apache Traffic Server ≥ 8.0.0, ≤ 8.1.11 –
≥ 9.0.0, ≤ 9.2.15 –
≥ 10.0.0, ≤ 10.1.4 –
10.2.0 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.