Apache - CVE-2026-102795
Date de publication :
Il s'agit d'une vulnérabilité dans la politique de correspondance entre le SNI et l'en-tête Host d'Apache Traffic Server.
Apache Traffic Server est un serveur proxy et cache HTTP open source de la fondation Apache. Il peut fonctionner en proxy inverse, en proxy direct ou en nœud de réseau de diffusion de contenu (CDN). Il gère notamment le chiffrement TLS, la mise en cache et la réécriture des requêtes. Il est extensible par des plugins.
Cette politique compare le nom de serveur TLS de la connexion avec l'hôte indiqué dans la requête HTTP. Son application incorrecte laisse passer des requêtes dont ces deux valeurs ne correspondent pas. Un attaquant distant peut en profiter sans authentification ni interaction de l'utilisateur.
Elle permet un contournement de la politique de sécurité appliquée par le proxy.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Contournement de la politique de sécurité
Exploitation
CWE-284 : Improper Access Control
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• Apache Traffic Server branche 9.x versions 9.0.0 jusqu'à 9.2.14
• Apache Traffic Server branche 10.x versions 10.0.0 jusqu'à 10.1.3
• Toutes les versions 9.2.x antérieures à 9.2.15 sont affectées.
• Cette CVE remplace CVE-2026-41920, dont la plage 9.x était erronée (9.0.0 à 9.1.14). Les installations 9.2.x jugées non affectées d'après cet ancien avis doivent être réévaluées.
Solutions ou recommandations
• Apache Traffic Server branche 10.x versions 10.1.4 et supérieures