Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Критический
Опубликована

CVE-2026-111816

Apache Traffic Server: A malformed 302 response bypasses parse-error rejection through the Transfer-Encoding: chunked carve-out

Публикация: 21.10.2026·Обновлена: 24.10.2026, 00:22·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Apache Traffic Server forwarded a malformed 302 response that should have been rejected as a parse error, because the Transfer-Encoding: chunked carve-out bypassed the rejection path. A response that two peers can read differently is then stored and served, allowing cache poisoning and response-framing desync. This issue affects Apache Traffic Server: from 8.0.0 through 8.1.11, from 9.0.0 through 9.2.15, from 10.0.0 through 10.1.4, 10.2.0. Users are recommended to upgrade to version 9.2.16, 10.1.5, or 10.2.1, which fix the issue.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Apache Software Foundation / Apache Traffic Server 

{
  "status": "affected",
  "version": "8.0.0",
  "versionType": "semver",
  "lessThanOrEqual": "8.1.11"
}
{
  "status": "affected",
  "version": "9.0.0",
  "versionType": "semver",
  "lessThanOrEqual": "9.2.15"
}
{
  "status": "affected",
  "version": "10.0.0",
  "versionType": "semver",
  "lessThanOrEqual": "10.1.4"
}
{
  "status": "affected",
  "version": "10.2.0",
  "versionType": "semver"
}

CVSS: оценки и векторы

CVSS 3.1 · cve9.3
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователяне нужно
S · Область воздействияменяется
C · Конфиденциальностьнизкое
I · Целостностьвысокое
A · Доступностьнет
CVSS 4.0 · cve9.2
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:L/SI:H/SA:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
AT · Условия атакидополнительные условия не нужны
PR · Привилегиине нужны
UI · Участие пользователяне нужно
VC · Конфиденциальность уязвимой системынет
VI · Целостность уязвимой системывысокое
VA · Доступность уязвимой системынет
SC · Конфиденциальность связанной системынизкое
SI · Целостность связанной системывысокое
SA · Доступность связанной системынет

Классы CWE

CWE-444 · Непоследовательная интерпретация HTTP запросов

Источники и ссылки

Бюллетень вендора · lists.apache.org · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-02T21:11:10.934670+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T18:33:40.413655+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T18:33:40.413655+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T18:33:40.413655+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-02T21:11:10.934670+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T18:33:40.413655+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены03.11.2026, 00:11
  2. Данные обновлены02.11.2026, 00:09
  3. Данные обновлены31.10.2026, 11:57
  4. Данные обновлены30.10.2026, 16:41
  5. Данные обновлены29.10.2026, 11:14
  6. Опубликована28.10.2026, 21:33

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2025-55702
Apache Traffic Server: An unread Expect: 100-continue request body is framed as a new request
Apache Software Foundation / Apache Traffic Server
Высокий7.0
0,33 %
21.10.2026
CVE-2025-31699
Apache Traffic Server: Origin connection still owed a request body is reused, enabling request smuggling
Apache Software Foundation / Apache Traffic Server
Критический9.1
0,35 %
21.10.2026
CVE-2026-111809
Apache Traffic Server: HEAD requests carrying Content-Length or Transfer-Encoding enable request smuggling
Apache Software Foundation / Apache Traffic Server
Средний6.9
0,22 %
21.10.2026
CVE-2026-111804
Apache Traffic Server: wasm plugin has a use-after-free and forwards unvalidated guest metric IDs
Apache Software Foundation / Apache Traffic Server
Высокий8.8
0,3 %
21.10.2026
CVE-2026-111805
Apache Traffic Server: HTTP/2 Content-Length truncation lets a client trigger backend worker-pool exhaustion
Apache Software Foundation / Apache Traffic Server
Высокий7.7
0,41 %
21.10.2026