Уязвимость CVE-2026-58157 в Apache Traffic Server: некорректное переиспользование серверных сессий раскрывает данные между клиентами
В Apache Traffic Server обнаружена уязвимость высокого уровня опасности (CVSS 8.7), связанная с некорректным переиспользованием серверных сессий и туннелей. Проблема затрагивает ветки 8.x, 9.x и 10.x и может привести к утечке данных между клиентскими соединениями. Исправления доступны в версиях 9.2.15 и 10.1.4.
Подробности
Уязвимости присвоен идентификатор CVE-2026-58157. Заголовок записи CVE обозначает суть проблемы прямо: «Improper server-session reuse can expose data across client connections» — некорректное переиспользование серверных сессий может раскрывать данные между клиентскими соединениями. Согласно описанию, Apache Traffic Server способен неправильно переиспользовать серверные сессии и туннели, что приводит к раскрытию данных в рамках разных клиентских соединений. Иными словами, один клиент потенциально может получить фрагменты данных, предназначавшихся другому. Затронуты следующие диапазоны версий Apache Traffic Server: — с 8.0.0 по 8.1.11; — с 9.0.0 по 9.2.14; — с 10.0.0 по 10.1.3. Уязвимости присвоен базовый балл CVSS 8.7, что соответствует высокому уровню опасности. Класс проблемы — утечка информации между соединениями, что особенно критично для инфраструктур, где через один экземпляр Traffic Server проходят потоки разных пользователей, сервисов или арендаторов.Что делать
Производитель выпустил исправленные версии: 9.2.15 и 10.1.4. Apache Software Foundation рекомендует пользователям обновиться до них. Обратите внимание: ветка 8.x в перечне исправленных версий не указана, поэтому организациям, всё ещё эксплуатирующим 8.x, следует рассмотреть переход на актуальную поддерживаемую ветку. Дополнительные меры до обновления: — по возможности ограничить прохождение через уязвимые экземпляры трафика разных доверительных доменов; — пересмотреть правила сегментации и изоляции бэкенд-соединений; — усилить мониторинг аномалий на предмет несоответствия ответов запросам клиентов. После обновления рекомендуется проверить конфигурации туннелирования и убедиться, что переиспользование серверных сессий работает так, как задумано. Итог: CVE-2026-58157 — серьёзная уязвимость утечки данных в Apache Traffic Server с оценкой 8.7. Единственное надёжное решение — обновление до версий 9.2.15 или 10.1.4. Владельцам прокси- и CDN-инфраструктуры на базе ATS стоит приоритизировать патчинг.Источник: CVE Project (cvelistV5)