リモートの Debian 10 ホストには、dla-3279 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache Traffic Server のヘッダー解析の不適切な入力検証の脆弱性のため、攻撃者が安全なリソースを要求することが可能です。この問題は、Apache Traffic Server 8.0.0から 9.1.2に影響します。(CVE-2021-37150)

  - Apache Traffic Server の HTTP/2 要求検証における不適切な入力検証の脆弱性のため、攻撃者がスマグリング攻撃やキャッシュ ポイズニング攻撃を作成できます。この問題は、Apache Traffic Server 8.0.0から 9.1.2に影響します。(CVE-2022-25763)

  - Apache Traffic Server の HTTP/1.1 ヘッダー解析における不適切な入力検証の脆弱性のため、攻撃者が無効なヘッダーを送信することが可能です。この問題は、Apache Traffic Server 8.0.0から 9.1.2に影響します。
    (CVE-2022-28129)

  - Apache Traffic Server の HTTP/2 フレーム処理の不適切な入力検証の脆弱性のため、攻撃者がリクエストを偽装することが可能です。この問題は、Apache Traffic Server 8.0.0から 9.1.2に影響します。(CVE-2022-31780)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DLA-3279-1: trafficserver - LTS セキュリティ更新

high Nessus プラグイン ID 170409

バージョン 1.1

バージョン 1.0

バージョン 1.1 Jan 22, 2025, 5:44 PM CVSS metrics ("Cvssv4 score" set to 0.0) CVSSv2 severity (based on None, severity decreased from "High" to "Low") Plugin metadata Plugin Feed: 202501221744
バージョン 1.0 Jan 24, 2023, 1:51 AM New Plugin Feed: 202301240151