La Fundación de Software Apache ha lanzado actualizaciones de seguridad de emergencia para abordar dos vulnerabilidades graves en el Apache Traffic Server (ATS). ATS funciona como una caché proxy web de alto rendimiento que mejora la eficiencia de la red y maneja grandes volúmenes de tráfico web empresarial. Estas nuevas fallas descubiertas surgen de la forma en que el servidor procesa solicitudes HTTP con cuerpos de mensaje.

La Fundación Apache Software ha lanzado actualizaciones de seguridad de emergencia para solucionar dos graves vulnerabilidades en el Apache Traffic Server (ATS).

ATS funciona como una caché proxy web de alto rendimiento que mejora la eficiencia de la red y gestiona grandes volúmenes de tráfico web empresarial.

Estas nuevas vulnerabilidades descubiertas surgen de cómo el servidor procesa las solicitudes HTTP con cuerpos de mensaje.

Si no se parchean, los atacantes remotos pueden explotar estas debilidades para provocar condiciones de Denegación de Servicio (DoS) o ejecutar ataques complejos de contrabando de solicitudes HTTP contra redes empresariales.

Vulnerabilidades en Apache Traffic Server

La falla más disruptiva está identificada como CVE-2025-58136. El investigador de seguridad Masakazu Kitajo descubrió que una simple y legítima solicitud HTTP POST puede hacer que toda la aplicación ATS se bloquee.

Dado que las solicitudes POST son métodos estándar para enviar datos a un servidor web, esta vulnerabilidad es altamente accesible para atacantes remotos.

Cuando se explota, el bloqueo resulta en un ataque inmediato de Denegación de Servicio, derribando el servidor proxy y bloqueando el acceso para todos los usuarios legítimos que dependen de esa infraestructura.

La segunda vulnerabilidad, designada como CVE-2025-65114, fue identificada por el investigador de seguridad Katsutoshi Ikenoya.

Esta falla se centra en cómo el Apache Traffic Server maneja cuerpos de mensajes fragmentados malformados durante la transmisión de datos. Los atacantes pueden explotar este manejo inadecuado para lograr contrabando de solicitudes HTTP.

Esta técnica de ataque avanzada permite a los actores maliciosos manipular el procesamiento de secuencias de solicitudes HTTP, eludiendo controles de seguridad para envenenar cachés web o obtener acceso no autorizado a datos sensibles en servidores downstream.

Estas vulnerabilidades afectan a múltiples ramas activas del Apache Traffic Server. Según el aviso oficial de seguridad, el software afectado incluye las versiones de ATS 9.0.0 a 9.2.12, así como las versiones 10.0.0 a 10.1.1.

Los administradores que gestionan estas versiones específicas deben tomar medidas inmediatas para proteger sus entornos de red contra posibles explotaciones.

La Fundación Apache Software recomienda encarecidamente que todos los administradores actualicen sus instalaciones a las últimas versiones seguras.

Los usuarios que operan en la rama 9.x deben actualizar a la versión 9.1.13 o posterior. Mientras tanto, las organizaciones que utilizan la rama 10.x deben actualizar a la versión 10.1.2 o superior para eliminar por completo la amenaza.

Para los equipos que no puedan aplicar las actualizaciones de software de inmediato, existe una solución temporal para la vulnerabilidad de DoS (CVE-2025-58136).

Los administradores pueden evitar el bloqueo estableciendo el parámetro proxy.config.http.request_buffer_enabled en 0. Afortunadamente, este ya es el valor predeterminado en la configuración del sistema, lo que significa que muchos servidores podrían estar ya protegidos contra el bloqueo.

Sin embargo, no existe ninguna solución alternativa para la vulnerabilidad de contrabando de solicitudes (CVE-2025-65114). Por lo tanto, una actualización completa del software sigue siendo la única estrategia efectiva para proteger el entorno del servidor contra ambas amenazas.

Fuentes:
https://cybersecuritynews.com/apache-traffic-server-dos-vulnerabilities/