- Son 7 gün
- CWE-444
CVE-2026-111816
Apache Traffic Server: Hatalı 302 yanıtı ayrıştırma hatasını atlatarak önbellek zehirlenmesine yol açabiliyor
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- apache
Yönetici özeti
Bu açık, internete açık web ve içerik dağıtım altyapısında kullanılan bir ara sunucu yazılımını etkilemektedir ve CVSS puanı 9.3 ile kritik düzeydedir. Başarılı bir saldırı, kullanıcılara yanlış veya kötü niyetli içeriğin sunulmasına yol açabilir ve müşteri güvenini zedeleyebilir. Etkilenen sürümler kullanılan işletmelerin bu güncellemeyi öncelikli olarak uygulaması gerekir.
ÖzetTürkçe
Apache Traffic Server, hatalı biçimlendirilmiş bir 302 yanıtını ayrıştırma hatası olarak reddetmesi gerekirken iletmektedir. Transfer-Encoding: chunked istisnası, reddetme mekanizmasını atlatmaktadır. İki tarafın farklı yorumlayabileceği bu yanıt önbelleğe alınıp sunulabilmektedir. Etkilenen sürümler 8.0.0–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 ve 10.2.0'dır.
Saldırgan ne yapabilir?
Saldırgan önbellek zehirlenmesi ve yanıt çerçeveleme senkronizasyon bozukluğu (desync) oluşturarak diğer kullanıcılara manipüle edilmiş yanıtlar sunabilir. Bu da gizlilik ve bütünlük açısından ciddi sonuçlar doğurabilir.
Kaynaktaki açıklama (İngilizce)
Apache Traffic Server forwarded a malformed 302 response that should have been rejected as a parse error, because the Transfer-Encoding: chunked carve-out bypassed the rejection path. A response that two peers can read differently is then stored and served, allowing cache poisoning and response-framing desync.
This issue affects Apache Traffic Server: from 8.0.0 through 8.1.11, from 9.0.0 through 9.2.15, from 10.0.0 through 10.1.4, 10.2.0.
Users are recommended to upgrade to version 9.2.16, 10.1.5, or 10.2.1, which fix the issue.
Ne yapmalı?
- Apache Traffic Server'ı 9.2.16, 10.1.5 veya 10.2.1 sürümlerinden birine yükseltin. Kendi sürüm dalınıza uygun olan güncellemeyi seçin. Genel öneri
- Güncellemeden önce ve sonra önbellek içeriğini gözden geçirin; şüpheli yanıtların önbellekte kalmadığından emin olmak için önbelleği temizlemeyi değerlendirin. Genel öneri
- Güncelleme yapamıyorsanız, sunucuyu yalnızca güvenilir kaynaklardan gelen trafiğe açık tutun ve yukarı akış sunucularının yanıtlarını izleyin. Genel öneri
Ek önlemler
- Ara sunucu ile arka uç uygulamaları arasında yanıt başlıklarının (özellikle Transfer-Encoding ve Content-Length) tutarlılığını izleyin. Genel öneri
- Beklenmedik yönlendirme (302) yanıtlarının veya olağandışı önbellek davranışlarının günlüklerini düzenli olarak inceleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Traffic Server | ≥ 8.0.0, ≤ 8.1.11 | – |
| ≥ 9.0.0, ≤ 9.2.15 | – | |
| ≥ 10.0.0, ≤ 10.1.4 | – | |
| 10.2.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.