Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Apache Traffic Server (CVE-2024-31309)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-20 Validación incorrecta de entrada
Fecha de publicación:
10/04/2024
Última modificación:
03/06/2025

Descripción

Un ataque de HTTP/2 CONTINUATION DoS puede hacer que Apache Traffic Server consuma más recursos en el servidor. Las versiones de 8.0.0 a 8.1.9 y de 9.0.0 a 9.2.3 se ven afectadas. Los usuarios pueden establecer una nueva configuración (proxy.config.http2.max_continuation_frames_per_minuto) para limitar el número de fotogramas de CONTINUACIÓN por minuto. ATS tiene una cantidad fija de memoria que una solicitud puede usar y ATS cumple con estos límites en versiones anteriores. Se recomienda a los usuarios actualizar a las versiones 8.1.10 o 9.2.4, que solucionan el problema.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:apache:traffic_server:*:*:*:*:*:*:*:* 8.0.0 (incluyendo) 8.1.10 (excluyendo)
cpe:2.3:a:apache:traffic_server:*:*:*:*:*:*:*:* 9.0.0 (incluyendo) 9.2.4 (excluyendo)
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:38:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:39:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:40:*:*:*:*:*:*:*