Apache Traffic Server corrige 15 fallos en proxy, TLS y plugins

Apache Traffic Server publicó 15 correcciones de seguridad en las versiones 9.2.16, 10.1.5 y 10.2.1. El lote mezcla denegaciones de servicio, desincronización HTTP, fallos de control de acceso y confusión de identidad TLS; no es un único defecto repetido quince veces. Apache clasifica dos como críticos, ocho importantes y cinco moderados, y aclara que su severidad considera condiciones de explotación y configuración por defecto.

-SecureCrew dice: quince fallos en un proxy compartido recuerdan que el borde también conserva estado, conexiones y memoria.-

El plugin más llamativo no viene activado por ser parte de ATS

CVE-2026-111813 permite una inyección de argumentos: una petición no autenticada controla argumentos de ImageMagick convert a través del plugin experimental magick. Apache lo califica como crítico, pero el requisito operativo es clave: el riesgo de esa ruta existe si el plugin está desplegado. La frase “configuración por defecto” describe la configuración del plugin, no significa que todas las instalaciones del servidor expongan esa funcionalidad. El registro NVD atribuye a Apache una puntuación CVSS v3.1 de 10.0, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, con cambio de alcance. Es una evaluación de severidad, no una medida de probabilidad de explotación ni una prueba de que el plugin esté cargado en cada instalación.

La misma versión corrige CVE-2026-111804 en el plugin experimental wasm: un use-after-free al cerrar transacciones y el reenvío de identificadores de métricas del huésped sin validar. Ese arreglo se lista para 10.1.5 y 10.2.1; no para 9.2.16. Las ramas y componentes afectados no son intercambiables, así que un inventario de versión sin módulos cargados deja fuera parte del diagnóstico.

-SecureCrew dice: un plugin experimental en producción deja de ser experimental para quien tiene que parchearlo.-

HTTP y TLS son parte del mismo perímetro

En TLS, CVE-2026-111814 trata la reutilización de sesiones salientes: la política de compartición podía reciclar una conexión autenticada con un certificado de cliente para otra transacción configurada con una identidad diferente. CVE-2026-111815 aborda otra frontera, la reanudación de sesiones entre nombres SNI que podía omitir la comprobación de certificado exigida por verify_client STRICT. Ninguna de las dos afirmaciones significa que todo mTLS esté roto; describen reglas concretas de ATS.

El boletín incluye cuatro fallos de request smuggling. Entre ellos, una respuesta 302 malformada podía superar el rechazo de errores de análisis y almacenarse en caché; otros defectos reutilizaban conexiones de origen que todavía esperaban un cuerpo o trataban de forma distinta peticiones HEAD. El riesgo práctico aparece cuando front-end, proxy y origen no interpretan igual los límites de una petición o respuesta y comparten conexiones, caché o decisiones de acceso. El mismo lanzamiento corrige dos agotamientos de workers del origen por HTTP/2: uno provocado por un Content-Length truncado y otro por padding malformado en un DATA frame. También limita el registro de diagnóstico sin control que podía generar más datos de log que los propios encabezados de la petición.

-SecureCrew dice: si el proxy y el origen no se ponen de acuerdo sobre dónde acaba una petición, el control de acceso puede acabar en el lado equivocado.-

Qué versiones revisar y qué parche aplicar

Apache indica que el lanzamiento corrige las ramas hasta 9.2.15, 10.1.4 y 10.2.0; las versiones publicadas son 9.2.16, 10.1.5 y 10.2.1. La ficha NVD de CVE-2026-111813 también enumera 8.0.1–8.1.11, además de 9.0.0–9.2.15, 10.0.0–10.1.4 y 10.2.0. Para la rama 8.x, el aviso de Apache no detalla una versión corregida: confirma su ruta de soporte antes de tratar los parches de 9.x o 10.x como sustitutos.

La evaluación fechada de NVD mostraba “exploitation: none” el 22 de octubre; es una señal fechada, no garantía de que no hayan aparecido cambios después. La prioridad operativa es identificar la versión efectiva, los plugins cargados y las rutas con mTLS o conexiones compartidas; después, aplicar el parche correspondiente a la rama. En paquetes de distribución o imágenes de contenedor, comprueba los backports: una versión base antigua no demuestra por sí sola que el código siga vulnerable.

Diccionario de la Crew

CVSS — Sistema para describir la severidad técnica de una vulnerabilidad mediante métricas y un vector.

Inyección de argumentos — Fallo que permite controlar opciones o argumentos que otra aplicación recibe al ejecutarse.

CVE-2026-111813 — Fallo de inyección de argumentos en el plugin experimental magick de Apache Traffic Server.

mTLS — TLS con certificado de cliente, usado para autenticar también a quien se conecta al servidor.

SNI — Campo TLS que indica el nombre del servidor al que se conecta el cliente.

Request smuggling — Técnica que aprovecha interpretaciones distintas de los límites de una petición entre componentes HTTP.

Use-after-free — Error de memoria que ocurre cuando el programa vuelve a usar un bloque después de liberarlo.

Fuentes

Apache Traffic Server Security Advisory | https://trafficserver.apache.org/security-2026-10.html

NVD — CVE-2026-111813 | https://nvd.nist.gov/vuln/detail/CVE-2026-111813