Apache Traffic Server の入力検証不備（評価が 7.7 から 10.0 まで割れる）

Critical（CVSS 9.1）に分類されるApache Apache Traffic Serverの脆弱性です。Apache Traffic Server に不適切な入力検証の脆弱性がある。Apache の告知が挙げる影響範囲は 9.2.0 から 9.2.14 と 10.1.0 から 10.1.3 で、修正版は 9.2.15 または 10.1.4 である。ただし NVD の CPE は 9.2.15 未満と 10.0.0 以上 10.1.4 未満で、10 系の下限が告知より広く取られている。10.0.x も 10.1.4 以降へ上げるのが安全側である。CVSS は評価元によって High から Critical の端まで開いている。NVD（Primary、nvd@nist.gov）は CVSS 3.1 で 9.1 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N）、CNA の Apache（security@apache.org）は CVSS 3.1 で 10.0 Critical（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N）、CVSS 4.0 では 7.7 High（AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:H/SA:N）としている。3.1 の差はスコープ変更を認めるか（S:C か S:U）で、4.0 では影響を後続システムの完全性（SI:H）に絞っている。CWE は Apache が CWE-20、NVD 側は分類情報なし（NVD-CWE-noinfo）。CISA KEV には未収載。NVD の vulnStatus は Analyzed。

判定は traffic_server -V の版で行い、9.2 系なら 9.2.15 未満、10 系なら 10.1.4 未満が対象である。この CVE は影響範囲の記載が告知と NVD の CPE でずれており、告知は 10.1.0 以降と書いているのに CPE は 10.0.0 以降を対象としている。判断に迷う 10.0.x を抱えているなら、どちらの解釈でも安全になる 10.1.4 以降へ上げるのが手間が少ない。見落としやすいのは、外向きのキャッシュノードだけを管理対象にしていて、内部向けのプロキシや開発用のインスタンスが同じ版のまま残っているケース、それとコンテナイメージに焼き込んだ ATS である。入力検証の不備で、4.0 の評価が後続システムへの完全性影響に振られていることを踏まえると、ATS の背後にいるオリジンやアプリケーションが不正な内容を受け取る形の悪用を想定しておくのが妥当である。したがって更新までの間は、前段の WAF やロードバランサで異常なリクエスト（不正なヘッダやメソッド）を落とす、ATS からオリジンへ渡る経路を絞る、といった形で当たり面を減らす。ただし Apache が公式に緩和策を示しているわけではないので、これは更新までのつなぎとして扱う。完了条件は、全 ATS ノードとコンテナイメージが 9.2.15 以降または 10.1.4 以降になっていること、そして更新後にオリジン側のアクセスログで不審なリクエストの残骸が無いことを確認できた時点である。KEV 未収載で悪用報告も無いため、公開面のノードから順にローリングで進めればよい。

Apache Apache Traffic Server を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-33267）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。