PT-2021-23468 · Apache · Apache Traffic Control

Eric Friedrich + 1 · Publicado 2021-10-12 · Atualizado 2024-08-21 · CVE-2021-42009

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Apache Traffic Control, versões 4.1.x a 5.1.x

Descrição

Um usuário autenticado do Apache Traffic Control Traffic Ops com privilégios de nível de Portal pode enviar uma solicitação com um assunto de e-mail especialmente criado para o endpoint “/deliveryservices/request” do Traffic Ops, a fim de enviar um e-mail, a partir do servidor do Traffic Ops, com um corpo arbitrário para um endereço de e-mail arbitrário.

Recomendações

Para o Apache Traffic Control 4.1.x, atualize para a versão 5.1.3.

Para o Apache Traffic Control 5.1.x, atualize para a versão 5.1.3 ou 6.0.0.

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2021-42009

GHSA-GW97-F6H8-GM94

GO-2022-0602

Produtos afetados

Apache Traffic Control

Referências · 14

• https://github.com/apache/trafficcontrol · Nota
• https://lists.apache.org/thread.html/r7dfa9a89b39d06caeeeb7b5cdc41b3493a9b86cc6cfa059d3f349d87@%3Cannounce.apache.org%3E · Nota
• http://openwall.com/lists/oss-security/2021/10/12/1 · Nota
• https://lists.apache.org/thread.html/re384fd0f44c6d230f31376153c6e8b59e4a669f927c1533d06d702af%40%3Cdev.trafficcontrol.apache.org%3E · Aviso do Fabricante
• https://lists.apache.org/thread.html/r7dfa9a89b39d06caeeeb7b5cdc41b3493a9b86cc6cfa059d3f349d87%40%3Cannounce.apache.org%3E · Nota
• https://lists.apache.org/thread.html/r78d471d8a4fd268a4c5ae6c47327c09d9d4b4467c31da2c97422febb@%3Cdev.trafficcontrol.apache.org%3E · Nota
• https://osv.dev/vulnerability/GO-2022-0602 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-gw97-f6h8-gm94 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-42009 · Aviso do Fabricante
• https://t.me/cibsecurity/30375 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-42009 · Nota de Segurança
• https://lists.apache.org/thread.html/r78d471d8a4fd268a4c5ae6c47327c09d9d4b4467c31da2c97422febb%40%3Cdev.trafficcontrol.apache.org%3E · Nota
• https://github.com/advisories/GHSA-gw97-f6h8-gm94 · Nota
• https://lists.apache.org/thread.html/rf0481b9e38ece1ece458d3ce7b2d671df819e3555597f31fc34f084e%40%3Ccommits.trafficcontrol.apache.org%3E · Aviso do Fabricante