Apache Traffic Server のディスクキャッシュ処理で状態破壊とクラッシュ

Critical（CVSS 9.1）に分類されるApache Apache Traffic Serverの脆弱性です。Apache Traffic Server が、ディスク上のキャッシュに格納されたフィールドとオブジェクトの寿命の扱いを誤り、内部状態を壊すかプロセスをクラッシュさせる。影響範囲は Apache の告知によると 8.0.0 から 8.1.9、9.0.0 から 9.2.14、10.0.0 から 10.1.3 で、修正版は 9.2.15 または 10.1.4 である。NVD の CPE も同じ範囲を示す。注意が要るのは 8 系で、影響範囲に入っているのに 8 系の修正版は示されておらず、告知が挙げる出口は 9.2.15 か 10.1.4 への移行だけである。CVSS は評価元で割れており、NVD（Primary、nvd@nist.gov）は CVSS 3.1 で 9.1 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H）、CNA の Apache（security@apache.org）は CVSS 4.0 で 8.3 High（AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:H/SC:N/SI:N/SA:N）、CVSS 3.1 では 7.5 High（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N）としている。両者とも機密性への影響は無いと見ており、割れているのは完全性と可用性をどこまで見るかである。CWE は CWE-502（信頼できないデータのデシリアライズ）。CISA KEV には未収載で、悪用の確認情報も無い。NVD の vulnStatus は Analyzed。

判定は traffic_server -V で版を取り、8.1.9 以下、9.2.15 未満、10.1.4 未満のいずれかに当たるかを見る。3 系統すべてに影響が及ぶので、他の ATS の CVE と違って「古い安定版だから対象外」とはならない点に注意する。見落としやすいのは、ディストリのパッケージで入れた 8 系や 9 系が長期稼働のまま残っているケースと、キャッシュ用のディスクを持つノードだけ構成が違って構成管理から漏れているケースである。8 系を使っている場合、告知に 8 系向けの修正版が示されていないため、やることは 9.2.15 への移行（設定とプラグインの互換確認を伴う）になる。ここは版を上げるだけの作業では済まないので、先に検証環境で 9.2 系の設定変換を通しておくと現実的である。すぐに更新できない場合の緩和策は告知に示されていない。壊れるのがディスク上のキャッシュの解釈である以上、経路を閉じる方向としては、信頼できないクライアントからのリクエストが直接そのノードに届かないよう前段で絞る、キャッシュを無効化して運用する（性能は落ちる）、といった選択になるが、いずれも暫定策である。完了条件は、（1）全 ATS ノードが 9.2.15 以降または 10.1.4 以降になっていること、（2）8 系のノードがゼロになっていること、（3）更新後にキャッシュが正常に読み書きできていること（キャッシュヒット率とエラーログ）を確認できた時点である。クラッシュを伴う不具合なので、更新後しばらくはプロセスの再起動回数を監視しておくとよい。

Apache Apache Traffic Server を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-58163）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。