PT-2025-21129 · Varnish+6 · Varnish Cache+7

Asad Ahmed · Publicado 2025-05-13 · Atualizado 2025-12-03 · CVE-2025-47905

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Varnish Cache 7.6.3 e anteriores, 7.7.0 Versões do Varnish Enterprise 6.0.13r13 e anteriores

Descrição: O problema permite dessincronização do lado do cliente via requisições HTTP/1. Isso ocorre porque o produto permite incorretamente que o CRLF seja ignorado para delimitar limites de chunk.

Recomendações: Para as versões do Varnish Cache 7.6.3 e anteriores, atualize para a versão 7.6.3 ou posterior. Para a versão 7.7.0 do Varnish Cache, atualize para a versão 7.7.1 ou posterior. Para as versões do Varnish Enterprise 6.0.13r13 e anteriores, atualize para a versão 6.0.13r14 ou posterior.

Correção

HTTP Request/Response Smuggling

Enumeração de Fraquezas

CWE-444

Identificadores relacionados

ALSA-2025:8336

ALSA-2025:8337

ALSA-2025:8550

BDU:2025-15593

BIT-VARNISH-2025-47905

CESA-2025_8336

CVE-2025-47905

DLA-4187-1

DSA-5918-1

INFSA-2025_8336

INFSA-2025_8337

OESA-2025-1556

RHSA-2025:8294

RHSA-2025:8310

RHSA-2025:8336

RHSA-2025:8337

RHSA-2025:8339

RHSA-2025:8340

RHSA-2025:8349

RHSA-2025:8350

RHSA-2025:8351

RHSA-2025:8550

RHSA-2025_8336

RHSA-2025_8337

Produtos afetados

Almalinux

Centos

Debian

Red Hat

Red Os

Rocky Linux

Varnish Cache

Varnish Enterprise

Referências · 45

• https://github.com/varnishcache/varnish-cache/commit/00cb14931a53efafbdfec9843453fb1347bc9f59 · Nota
• https://github.com/varnishcache/varnish-cache/commit/b5f1faba6e8d9848cfe0cba566986e7e5cc5f65b · Nota
• https://github.com/varnishcache/varnish-cache/commit/3d9a9abff1c6734feea9d48d5852ccad7e7d0a42 · Nota
• https://github.com/varnishcache/varnish-cache/commit/13904252859cf9848db5999b08c42d83a03ed812 · Nota
• https://t.me/cvenotify/123954 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-47905 · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-varnish-cve-2025-47905/?sphrase_id=1371059 · Nota
• https://errata.almalinux.org/9/ALSA-2025-8337.html · Aviso do Fabricante
• https://access.redhat.com/security/cve/CVE-2025-47905 · Nota
• https://osv.dev/vulnerability/ALSA-2025:8336 · Aviso do Fabricante
• https://security.alpinelinux.org/vuln/CVE-2025-47905 · Nota
• https://osv.dev/vulnerability/ALSA-2025:8550 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2025-47905 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2025/05/15/2 · Nota
• https://t.me/cvenotify/122078 · Publicação no Telegram