Apache Traffic Server: уязвимость CVE-2026-58158 в разборе PROXY protocol

Apache Software Foundation сообщила об уязвимости CVE-2026-58158 в Apache Traffic Server — высокопроизводительном прокси-сервере и кэширующем сервере, который используется для балансировки нагрузки, кэширования контента и обработки трафика в крупных инфраструктурах.

Подробности

Проблема связана с обработкой входных данных протокола PROXY (PROXY protocol) — механизма, позволяющего передавать информацию об исходном клиенте через промежуточные прокси-узлы. Согласно описанию, Apache Traffic Server некорректно разбирает такие данные: это приводит к усечению значений портов и переполнению стека. Уязвимости подвержены следующие версии Apache Traffic Server:

• от 8.0.0 до 8.1.11;
• от 9.0.0 до 9.2.14;
• от 10.0.0 до 10.1.3.

Уязвимости присвоен базовый балл CVSS 5.9, что соответствует среднему уровню опасности. Переполнение стека потенциально может приводить к аварийному завершению процесса или иным нарушениям в работе сервиса, а некорректный разбор портов — к ошибкам в определении источника соединения. Точный вектор эксплуатации в записи CVE не детализирован, поэтому не стоит исключать вероятность отказа в обслуживании при обработке специально сформированных запросов.

Что делать

Разработчики выпустили исправленные версии. Рекомендуется обновить Apache Traffic Server до версии 9.2.15 или 10.1.4 — в них уязвимость устранена. Если немедленное обновление невозможно, стоит рассмотреть временные меры:

• ограничить доступ к сервису только доверенными источниками и сегментами сети;
• по возможности отключить обработку PROXY protocol там, где она не требуется, или ограничить её применение только проверенными балансировщиками;
• усилить мониторинг аварийных завершений процесса и аномалий в трафике на предмет попыток эксплуатации.

Важно отметить, что отключение PROXY protocol может нарушить работу инфраструктуры, где реальный IP клиента передаётся именно этим механизмом, поэтому решение следует принимать с учётом архитектуры. Итог: CVE-2026-58158 — уязвимость среднего уровня в Apache Traffic Server, вызванная некорректным разбором PROXY protocol. Наиболее надёжное решение — переход на версии 9.2.15 или 10.1.4. Всем, кто использует затронутые версии, рекомендуется провести инвентаризацию установок и запланировать обновление в приоритетном порядке.

Источник: CVE Project (cvelistV5)