Múltiples vulnerabilidades en productos de Apache
Fecha de publicación 22/10/2026
Identificador
INCIBE-2026-770
Importancia
5 - Crítica
Recursos Afectados
- Apache Pulsar, versiones:
- Iguales o posteriores a 2.8.1 y anteriores a 4.0.14.
- Iguales o posteriores a 4.1.0 y anteriores a 4.2.5.
- Apache Traffic Server, versiones:
- Desde 8.0.0 hasta 8.1.11.
- Desde 9.0.0 hasta 9.2.15.
- Desde 10.0.0 hasta 10.1.4.
- 10.2.0.
Descripción
George Chen y otros investigadores, junto con la comunidad de Apache, han informado sobre 16 vulnerabilidades en Apache Pulsar y Apache Traffic Server: 5 de severidad crítica, 9 alta y 2 media. Su explotación podría permitir obtener privilegios de superusuario, eludir controles de acceso, manipular peticiones o respuestas HTTP, acceder, modificar o eliminar información de la caché y provocar una denegación de servicio.
Solución
- Apache Pulsar
- Actualizar a 4.0.14 o 4.2.5, según la rama utilizada, o a una versión posterior que incorpore las correcciones.
- Si no es posible actualizar inmediatamente, eliminar la configuración anonymousUserRole del broker y del servicio WebSocket, o restringir el acceso a sus interfaces HTTP a clientes de confianza.
- Apache Traffic Server
- Actualizar a 9.2.16, 10.1.5 o 10.2.1, según la rama utilizada. Los usuarios de versiones anteriores deben migrar a una versión corregida.
- La versión 9.2.16 no incluye la corrección de CVE-2026-111817. Para corregir esta vulnerabilidad, actualizar a 10.1.5 o 10.2.1. Si se mantiene la rama 9.2.x, mantener deshabilitada la opción proxy.config.http.drop_chunked_trailers.
Detalle
Las vulnerabilidades de severidad crítica son:
- CVE-2026-105869: el proveedor MultiRolesTokenAuthorizationProvider de Apache Pulsar utiliza roles de un JWT sin verificar su firma cuando una solicitud con credenciales no válidas se procesa como usuario anónimo. Un atacante no autenticado podría presentar un JWT falsificado o sin firma y asumir los roles indicados en él. Si incluye un rol configurado en superUserRoles, podría acceder como superusuario y consultar o modificar inquilinos, espacios de nombres, temas, permisos y configuración del broker.
- CVE-2026-111813: vulnerabilidad de inyección de argumentos en el complemento experimental magick de Apache Traffic Server. En su configuración predeterminada, sin firma, pasa los parámetros de consulta del cliente sin filtrarlos a la herramienta convert de ImageMagick. Un atacante no autenticado podría controlar los argumentos utilizados durante el procesamiento de imágenes.
- CVE-2025-31699: Apache Traffic Server puede reutilizar una conexión con el servidor de origen cuando este todavía espera recibir parte del cuerpo de una petición anterior. El origen interpreta una petición posterior como parte de ese cuerpo, permitiendo introducir peticiones que eludan los controles de acceso, interferir con las solicitudes de otros usuarios o envenenar la caché.
- CVE-2026-111816: tratamiento incorrecto de respuestas HTTP 302 malformadas en Apache Traffic Server. Una excepción asociada a Transfer-Encoding: chunked evita que se rechacen por un error de análisis. Estas respuestas pueden almacenarse y servirse pese a ser interpretadas de forma diferente por los extremos de la conexión, permitiendo el envenenamiento de la caché y la desincronización de respuestas.
- CVE-2026-111811: ausencia de autenticación en el complemento experimental tsmemcache de Apache Traffic Server. Su explotación podría permitir a un atacante con acceso por red leer, escribir y eliminar el contenido de la caché compartida del proxy sin disponer de credenciales.
El resto de vulnerabilidades puede consultarse en las referencias.
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-105869 | Crítica | No | APACHE |
| CVE-2026-111813 | Crítica | No | APACHE |
| CVE-2025-31699 | Crítica | No | APACHE |
| CVE-2026-111816 | Crítica | No | APACHE |
| CVE-2026-111811 | Crítica | No | APACHE |
Listado de referencias
