According to its self reported version, the remote Apache Traffic Server install is affected by multiple vulnerabilities.

  - Apache Traffic Server forwards malformed HTTP chunked trailer section to origin servers. This can be utilized for     request smuggling and may also lead cache poisoning if the origin servers are vulnerable. (CVE-2024-35161)

  - Apache Traffic Server accepts characters that are not allowed for HTTP field names and forwards malformed requests     to origin servers. This can be utilized for request smuggling and may also lead cache poisoning if the origin     servers are vulnerable. (CVE-2023-38522)

  - Invalid Accept-Encoding header can cause Apache Traffic Server to fail cache lookup and force forwarding requests     (CVE-2024-35296)

Note that Nessus did not actually test for these issues, but instead has relied on the version found in the server's banner.

The remote Fedora 40 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2024-77fe791124 advisory.

    Update to upstream 9.2.5     Resolves CVE-2023-38522, CVE-2024-35161, CVE-2024-35296

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 39 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2024-2243c5abee advisory.

    Update to upstream 9.2.5     Resolves CVE-2023-38522, CVE-2024-35161, CVE-2024-35296

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3897 advisory.

    - -------------------------------------------------------------------------     Debian LTS Advisory DLA-3897-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                          Adrian Bunk     September 27, 2024                            https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    Package        : trafficserver     Version        : 8.1.11+ds-0+deb11u1     CVE ID         : CVE-2023-38522 CVE-2024-35161 CVE-2024-35296     Debian Bug     : 1077141

    Multiple vulnerabilities were fixed in trafficserver,     a caching proxy server.

    CVE-2023-38522

        Incomplete field name check allows request smuggling

    CVE-2024-35161

        Incomplete check for chunked trailer section allows         request smuggling

    CVE-2024-35296

        Invalid Accept-Encoding can force forwarding requests

    For Debian 11 bullseye, these problems have been fixed in version     8.1.11+ds-0+deb11u1.

    We recommend that you upgrade your trafficserver packages.

    For the detailed security status of trafficserver please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/trafficserver

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 12 host has packages installed that are affected by multiple vulnerabilities as referenced in the dsa-5758 advisory.

    - -------------------------------------------------------------------------     Debian Security Advisory DSA-5758-1                   security@debian.org     https://www.debian.org/security/                       Moritz Muehlenhoff     August 26, 2024                       https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package        : trafficserver     CVE ID         : CVE-2023-38522 CVE-2024-35161 CVE-2024-35296

    Several vulnerabilities were discovered in Apache Traffic Server,     a reverse and forward proxy server, which could result in denial     of service or request smuggling.

    For the stable distribution (bookworm), these problems have been fixed in     version 9.2.5+ds-0+deb12u1.

    We recommend that you upgrade your trafficserver packages.

    For the detailed security status of trafficserver please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/trafficserver

    Further information about Debian Security Advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://www.debian.org/security/

    Mailing list: debian-security-announce@lists.debian.org

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Debian 11 ホストには、dla-3897 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-3897-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 9 月 27 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ : trafficserver バージョン : 8.1.11+ds-0+deb11u1 CVE ID : CVE-2023-38522 CVE-2024-35161 CVE-2024-35296 Debian バグ : 1077141

    キャッシングプロキシサーバーである trafficserver の複数の脆弱性が修正されました。

    CVE-2023-38522

        不完全なフィールド名のチェックにより、リクエストのスマグリングが可能です

    CVE-2024-35161

        チャンクされたトレーラーセクションの不完全なチェックにより、リクエストのスマグリングが可能です

    CVE-2024-35296

        無効な Accept-Encoding により、転送リクエストが強制される可能性があります

    Debian 11 bullseye においては、これらの問題はバージョン 8.1.11+ds-0+deb11u1 で修正されました。

    お使いの trafficserver パッケージをアップグレードすることを推奨します。

    trafficserver の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/trafficserver

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

自己報告されたバージョンによると、リモートにインストールされている Apache Traffic Server は複数の脆弱性の影響を受けます。

  - Apache Traffic Server が、無効な形式の HTTP チャンクトレーラーセクションを元のサーバーに転送します。これはリクエストスマグリングに利用される可能性があり、オリジンサーバーが脆弱な場合はキャッシュポイズニングにつながる可能性があります。(CVE-2024-35161)

  - Apache Traffic Server は、HTTP フィールド名に許可されていない文字を受け入れ、無効な形式のリクエストをオリジンサーバーに転送します。これはリクエストスマグリングに利用される可能性があり、オリジンサーバーが脆弱な場合はキャッシュポイズニングにつながる可能性があります。(CVE-2023-38522)

  - 無効な Accept-Encoding ヘッダーにより、Apache Traffic Server がキャッシュ検索に失敗し、リクエストの転送を強制する可能性があります (CVE-2024-35296)

Nessus では、実際にはこれらの問題をテストしていませんが、その代わりにサーバーのバナーにあるバージョンに依存していることに注意してください。

リモートの Debian 12 ホストには、dsa-5758 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-5758-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 8 月 26 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ: trafficserver CVE ID : CVE-2023-38522 CVE-2024-35161 CVE-2024-35296

    リバースおよびフォワードプロキシサーバーである Apache Traffic Server に複数の脆弱性が検出されました。これにより、サービス拒否またはリクエストスマグリングが発生する可能性があります。

    安定版 (stable) ディストリビューション (bookworm) では、これらの問題はバージョン 9.2.5+ds-0+deb12u1 で修正されています。

    お使いの trafficserver パッケージをアップグレードすることを推奨します。

    trafficserver の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/trafficserver

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3897 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-3897-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 9 月 27 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：trafficserver 版本： 8.1.11+ds-0+deb11u1 CVE ID： CVE-2023-38522 CVE-2024-35161 CVE-2024-35296 Debian 錯誤：1077141

    已修正快取 Proxy 伺服器 trafficserver 中的多個弱點。

    CVE-2023-38522

        不完整的欄位名稱檢查允許請求走私

    CVE-2024-35161

        區塊結尾區段的檢查不完整會允許請求走私

    CVE-2024-35296

        無效的 Accept-Encoding 可強制轉送要求

    針對 Debian 11 bullseye，這些問題已在 8.1.11+ds-0+deb11u1 版本中修正。

    建議您升級 trafficserver 套件。

    如需有關 trafficserver 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/trafficserver

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5758 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5758-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 8 月 26 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包 ：trafficserver CVE ID：CVE-2023-38522 CVE-2024-35161 CVE-2024-35296

    在反向和正向代理服务器 Apache Traffic Server 中发现多个漏洞，这些漏洞会造成拒绝服务或请求走私攻击。

    对于稳定发行版本 (bookworm)，已在 9.2.5+ds-0+deb12u1 版本中修复这些问题。

    建议您升级 trafficserver 程序包。

    如需了解 trafficserver 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/trafficserver

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5758 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5758-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 8 月 26 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：trafficserver CVE ID ： CVE-2023-38522 CVE-2024-35161 CVE-2024-35296

    在 Apache Traffic Server (一種反向和轉送代理伺服器) 中發現數個弱點，可導致拒絕服務或要求走私攻擊。

    針對穩定的發行版本 (bookworm)，已在 9.2.5+ds-0+deb12u1 版本中修正這些問題。

    建議您升級 trafficserver 套件。

    如需有關 trafficserver 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/trafficserver

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本，远程 Apache Traffic Server 安装受到多个漏洞的影响。

  - Apache Traffic Server 将畸形 HTTP 分块尾部部分转发到源服务器。这可被用于请求走私，如果源服务器易受攻击，还可能导致缓存中毒。(CVE-2024-35161)

  - Apache Traffic Server 接受不允许用于 HTTP 字段名称的字符，并将畸形的请求转发到源服务器。这可被用于请求走私，如果源服务器易受攻击，还可能导致缓存中毒。(CVE-2023-38522)

  - 无效的 Accept-Encoding 标头可导致 Apache Traffic Server 无法查找缓存并强制转发请求 (CVE-2024-35296)

请注意，Nessus 并未对这些问题进行实际测试，而是依赖服务器标题栏中的版本。

根據其自我報告的版本，遠端 Apache Traffic Server 安裝受到多個弱點影響。

  - Apache Traffic Server 會將格式錯誤的 HTTP 區塊結尾區段轉送至原始伺服器，攻擊者可藉此執行要求走私攻擊，如果原始伺服器具有弱點，還可能導致快取毒害。(CVE-2024-35161)

  - Apache Traffic Server 會接受 HTTP 欄位名稱不允許使用的字元，並將格式錯誤的要求轉送至原始伺服器。攻擊者可藉此執行要求走私攻擊，如果原始伺服器具有弱點，還可能導致快取毒害。(CVE-2023-38522)

  - 無效的 Accept-Encoding 標頭可造成 Apache Traffic Server 無法快取查閱並會強制轉送要求 (CVE-2024-35296)

請注意，Nessus 並未實際測試此問題，而是僅依據伺服器標題上發現的版本。

リモートの Fedora 40 ホストには、FEDORA-2024-77fe791124 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Upstream 9.2.5 への更新で、CVE-2023-38522、CVE-2024-35161、CVE-2024-35296 を解決します

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 39 ホストには、FEDORA-2024-2243c5abee のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Upstream 9.2.5 への更新で、CVE-2023-38522、CVE-2024-35161、CVE-2024-35296 を解決します

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 Debian 11 主机上安装的多个程序包受到 dla-3897 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3897-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 9 月 27 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：trafficserver 版本：8.1.11+ds-0+deb11u1 CVE ID：CVE-2023-38522 CVE-2024-35161 CVE-2024-35296 Debian 缺陷：1077141

    修复了缓存代理服务器 trafficserver 中的多种漏洞。

    CVE-2023-38522

        不完整的字段名称检查允许请求走私

    CVE-2024-35161

        分块尾部检查不完整允许请求走私

    CVE-2024-35296

        无效的 Accept-Encoding 可强制转发请求

    对于 Debian 11 bullseye，已在 8.1.11+ds-0+deb11u1 版本中修复这些问题。

    建议您升级 trafficserver 程序包。

    如需了解 trafficserver 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/trafficserver

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
205310	Apache Traffic Server 8.x < 8.1.11 / 9.x < 9.2.5 Multiple Vulnerabilities	Nessus	Web Servers	2024/8/9	2024/8/13	high
204985	Fedora 40 : trafficserver (2024-77fe791124)	Nessus	Fedora Local Security Checks	2024/8/5	2024/8/13	high
204987	Fedora 39 : trafficserver (2024-2243c5abee)	Nessus	Fedora Local Security Checks	2024/8/5	2024/8/13	high
207853	Debian dla-3897 : trafficserver - security update	Nessus	Debian Local Security Checks	2024/9/27	2024/9/27	high
206207	Debian dsa-5758 : trafficserver - security update	Nessus	Debian Local Security Checks	2024/8/26	2024/8/26	high
207853	Debian dla-3897 : trafficserver - セキュリティ更新	Nessus	Debian Local Security Checks	2024/9/27	2024/9/27	high
205310	Apache Traffic Server 8.x < 8.1.11 / 9.x < 9.2.5 複数の脆弱性	Nessus	Web Servers	2024/8/9	2024/8/13	high
206207	Debian dsa-5758 : トラフィックサーバー - セキュリティ更新	Nessus	Debian Local Security Checks	2024/8/26	2024/8/26	high
207853	Debian dla-3897：trafficserver - 安全性更新	Nessus	Debian Local Security Checks	2024/9/27	2024/9/27	high
206207	Debian dsa-5758：trafficserver - 安全更新	Nessus	Debian Local Security Checks	2024/8/26	2024/8/26	high
206207	Debian dsa-5758：trafficserver - 安全性更新	Nessus	Debian Local Security Checks	2024/8/26	2024/8/26	high
205310	Apache Traffic Server 8.x < 8.1.11/9.x < 9.2.5 多个漏洞	Nessus	Web Servers	2024/8/9	2024/8/13	high
205310	Apache Traffic Server 8.x < 8.1.11/9.x < 9.2.5 多個弱點	Nessus	Web Servers	2024/8/9	2024/8/13	high
204985	Fedora 40 : trafficserver (2024-77fe791124)	Nessus	Fedora Local Security Checks	2024/8/5	2024/8/13	high
204987	Fedora 39 : trafficserver (2024-2243c5abee)	Nessus	Fedora Local Security Checks	2024/8/5	2024/8/13	high
207853	Debian dla-3897：trafficserver - 安全更新	Nessus	Debian Local Security Checks	2024/9/27	2024/9/27	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high