PT-2024-2589 · Apache · Apache Traffic Server

Bartek Nowotarski · Publicado 2024-01-05 · Atualizado 2025-06-03 · CVE-2024-31309

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

Apache Traffic Server, versões 8.0.0 a 8.1.9

Apache Traffic Server, versões 9.0.0 a 9.2.3

Descrição

O ataque DoS HTTP/2 CONTINUATION pode fazer com que o Apache Traffic Server consuma mais recursos no servidor. Esse problema está relacionado à determinação incorreta do fim de um cabeçalho ao processar quadros CONTINUATION, o que pode levar a um consumo descontrolado de recursos. Um invasor remoto pode explorar essa vulnerabilidade enviando vários pacotes HTTP, causando potencialmente uma negação de serviço.

Recomendações

Para as versões 8.0.0 a 8.1.9, atualize para a versão 8.1.10.

Para as versões 9.0.0 a 9.2.3, atualize para a versão 9.2.4.

Como solução alternativa temporária, considere definir uma nova configuração proxy.config.http2.max continuation frames per minute para limitar o número de quadros CONTINUATION por minuto.

Correção

DoS

Resource Exhaustion

RCE

Enumeração de Fraquezas

CWE-400

CWE-20

Identificadores relacionados

BDU:2024-02651

CVE-2024-31309

DLA-3799-1

DSA-5659-1

Produtos afetados

Apache Traffic Server

Referências · 35

• https://github.com/apache/trafficserver/commit/b8c6a23b74af1772e5cb0de25b38c234a418cb1d · Nota
• https://github.com/apache/trafficserver/pull/11207 · Nota
• https://github.com/apache/trafficserver/commit/d8cb125e55ad7f9cc043e655f7ef25acbbbe0a2c · Nota
• https://github.com/apache/trafficserver/pull/11206 · Nota
• https://twitter.com/oss_security/status/1778152896627958073 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-31309 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-31309 · Aviso do Fabricante
• https://osv.dev/vulnerability/DSA-5659-1 · Aviso do Fabricante
• https://nowotarski.info/http2-continuation-flood · Nota
• https://t.me/cvenotify/124540 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2024-31309 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-31309 · Nota de Segurança
• https://t.me/proxy_bar/1998 · Publicação no Telegram
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/PBKLPQ6ECG4PGEPRCYI3Y3OITNDEFCCV · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/QV77HYM7ARSTL3B6U3IFG7PHDU65WL4I · Aviso do Fabricante