Apache Software Foundationの製品群において、合計10件の深刻な脆弱性が公表された。Apache Pulsar Managerでは、初期管理者アカウントの作成機能が認証なしで利用可能であり、初期化後も維持されるため、第三者が管理者アカウントを自由に追加できる問題が存在する。また、Apache Traffic Serverにおいては、認証情報の不正利用、プラグインの不適切な設定による外部コマンド制御、TLSセッションの誤用やSNI仮想ホスト間でのクライアント証明書の検証不備、リクエストスマグリング、キャッシュポイズニングにつながる問題など、多岐にわたる重大な脆弱性が含まれている。
対象ソフト
Apache Pulsar Managerは分散メッセージングシステムであるApache Pulsarの管理用Webコンソールであり、Apache Traffic Serverは高性能なリバースプロキシおよびキャッシュサーバーである。
影響
攻撃者によって認証バイパスや不正な管理者アカウントの作成、プロキシのキャッシュ汚染、リクエストスマグリング、さらには機密情報の窃取や不正なリクエスト処理が行われるおそれがある。
対応策
Apache Traffic Serverについては、バージョン 9.2.16、10.1.5、または 10.2.1 にアップグレードすること。
