Apache Traffic Serverに15件の欠陥 要求の密輸など

キャッシュと逆向きのプロキシ(利用者とWebのサーバーのあいだに立って中継する仕組み)のソフト「Apache Traffic Server」で、15件の脆弱性が直りました。Apache Traffic ServerのPMC(開発の運営の委員会)が日本時間2026年10月21日に公表し、9.2.16・10.1.5・10.2.1で直したと知らせています。

すべての対象の版の利用者に、できるだけ早く9.2.16・10.1.5・10.2.1に上げるよう求めています。15件のうち11件は標準の機能にあり、プラグインを使っていなくても当たります。

公表された15件

メールの「Severity」はASFの評価の区分で、CVSSの値は別に付いています。区分とCVSSが合わないものもあります。

対象の版は、多くが9.0.0〜9.2.15、10.0.0〜10.1.4、10.2.0です。wasmの欠陥は10.xだけ、記録のあふれとNULLの参照は9.2.15・10.1.4・10.2.0だけ、トレーラーの欠陥は9.2.5以降が対象です。

実験的なプラグインは、使っていなければ当たらない

magick、wasm、tsmemcacheの3つは、実験的(experimental)なプラグインです。使っていなければ、この3件は当たりません。

最も重いmagickの欠陥は、既定の署名なしの設定で、認証なしの利用者が、画像を変換するImageMagickのconvertの引数を操れるものです。CVSS 3.1とCVSS 4.0のどちらでも10.0です。署名ありの設定で当たるかどうかは、メールに書かれていません。

tsmemcacheは、認証なしで共有のキャッシュを読み書き・削除できる欠陥です。キャッシュに入った応答を書き換えられると、ほかの利用者に偽の内容が返る恐れがあります(当社の見立て)。

9.2.16に修正が入っていない1件

チャンクのトレーラーを消すときの停滞(CVE-2026-111817)は、9.2.16に修正が入っていません。9.x系では、トレーラーを消す設定(proxy.config.http.drop_chunked_trailers)は既定でオフで、有効にしているときだけ当たるとしています。10.x系では既定でオンなので、10.1.5か10.2.1に上げます。

影響する会社・しない会社

• 影響する: Apache Traffic Serverを、社内や自社のサービスの逆向きのプロキシやキャッシュに使っている会社です。対象の版なら、プラグインを使っていなくても11件が当たります。
• 影響する: magick、wasm、tsmemcacheのいずれかのプラグインを読み込んでいる会社です。とくにmagickは、既定の設定のまま外に出していれば、認証なしで突かれる恐れがあります。
• 影響する: origin_server_authのプラグインで、AWSへの要求に署名させている会社です。プロキシのIAMの権限が悪用される恐れがあります。
• 影響する: 裏のサーバーへの接続にクライアント証明書を使っている会社や、SNIごとにクライアント証明書を求める設定の会社です。TLSの2件が当たります。
• 影響しない: Apache Traffic Serverを使っていない会社です。ただし、ほかの製品やCDNの中で使われていることがあるので、委託先や製品の提供元にも確かめます(当社の見立て)。

情シスが今日やること

1. 使っているかを確かめます。 社内のサーバーの一覧で、Apache Traffic Server(traffic_server)が動いていないかを見ます。逆向きのプロキシやキャッシュを委託している場合は、委託先に使っているかと版を聞きます。
2. 版を上げる計画を立てます。 9.x系は9.2.16以降、10.1.x系は10.1.5以降、10.2.x系は10.2.1以降に上げます。9.x系でdrop_chunked_trailersを有効にしていれば、10.x系への移行も考えます。
3. 読み込んでいるプラグインを見直します。 plugin.configやremap.configで、magick、wasm、tsmemcache、origin_server_authを読み込んでいないかを確かめます。使っていない実験的なプラグインは外します。
4. magickを使っているなら急ぎます。 既定の署名なしの設定で外に出していないかを確かめ、上げるまでのあいだは、そのプラグインを通る経路を外から使えないようにできないかを考えます(当社の見立て)。
5. 記録と相互認証を見張ります。 上げるまでのあいだ、記録の量が急に増えていないか、裏のサーバーへのクライアント証明書の使い分けが想定どおりかを確かめます。