Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en servidores de caché CDN en ORT (ahora mediante atstccfg) en archivos ip_allow.config en Apache Traffic Control (CVE-2020-17522)

Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
26/01/2021
Última modificación:
07/11/2023

Descripción

Cuando ORT (ahora mediante atstccfg) genera archivos ip_allow.config en Apache Traffic Control versiones 3.0.0 hasta 3.1.0 y 4.0.0 hasta 4.1.0, esos archivos incluyen permisos que permiten a los actores malos introducir contenido arbitrario y eliminar contenido arbitrario desde servidores de caché CDN. Además, estos permisos son extendidos potencialmente para direcciones IP fuera del rango deseado, resultando en que sean otorgados a clientes posiblemente fuera de la arquitectura CDN

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:apache:traffic_control:*:*:*:*:*:*:*:* 3.0.0 (incluyendo) 3.1.0 (incluyendo)
cpe:2.3:a:apache:traffic_control:*:*:*:*:*:*:*:* 4.0.0 (incluyendo) 4.1.0 (incluyendo)