Apache Traffic Server の Cripts に境界外書き込みなど複数の欠陥

Critical（CVSS 9.8）に分類されるApache Apache Traffic Serverの脆弱性です。Apache Traffic Server の Cripts フレームワークに、境界外書き込み、パストラバーサル、解放後利用（use-after-free）が存在する。Apache の告知は影響範囲を 10.0.0 から 10.1.3 まで（両端を含む）とし、修正は 10.1.4 で入ったとしている。NVD の CPE も同じ範囲を示し、8 系・9 系は対象に挙がっていない。Cripts は 10 系に入ったスクリプト記述の仕組みなので、実質的な対象は 10 系で Cripts を使っている環境である。CVSS は評価元で大きく割れている。NVD（Primary、nvd@nist.gov）は CVSS 3.1 で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の Apache（security@apache.org）は CVSS 4.0 で 8.3 High（AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:H/SC:L/SI:L/SA:N）、同じ Apache による CVSS 3.1 では 8.1 High（AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:H）である。差は攻撃成立の難しさと、機密性・完全性がどこまで抜けるかの見立ての違いで、Apache 側は影響の主軸を可用性に置いている。CWE は CWE-787（境界外書き込み）。CISA KEV には未収載で、悪用が確認されたという公表情報も無い。NVD の vulnStatus は Analyzed。

まず 10 系を使っているかどうかで話が変わるので、稼働中の版を確定させる。traffic_server -V もしくは traffic_ctl --version で表示される版が 10.0.0 以上 10.1.4 未満なら該当、9 系以下なら本 CVE の対象外である。見落としやすいのは、フロントに置いた ATS がコンテナで動いていて、ホスト側のパッケージ版とイメージ内の版がずれている場合、それと構成管理の対象から外れている検証環境やカナリア用のノードである。イメージを使っているなら、動いているコンテナの中で版を取る（docker exec や kubectl exec 経由）ところまでやらないと確認したことにならない。Apache が示している対応は 10.1.4 への更新だけで、設定変更による公式な緩和策は告知されていない。すぐに更新できない場合は、Cripts を使ったスクリプトやプラグインの読み込みを外して当該コードを通さない構成に寄せる、あるいは ATS の管理系ポートと信頼できないクライアントからの到達経路を絞る、という形で当たり面を減らすことになるが、これは公式に緩和策として案内されたものではないので暫定策として扱い、更新の予定は残す。完了条件は、（1）10 系の全ノード（コンテナイメージを含む）が 10.1.4 以上になっていること、（2)暫定的に外した Cripts の設定を戻した状態でも版が 10.1.4 以上であること、この 2 点が確認できた時点である。KEV 未収載なので期限に追われる話ではないが、キャッシュ・リバースプロキシは外部からのリクエストを最初に受ける位置にいるため、公開面に立っているノードから先に片付ける。

Apache Apache Traffic Server を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-58177）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。