Múltiples vulnerabilidades en productos de Apache
Se han reportado múltiples fallos de seguridad que afectan a varios productos de la marca Apache, específicamente en las plataformas Apache Pulsar y Apache Traffic Server. Investigadores en colaboración con la comunidad han identificado un total de dieciséis fallos, de los cuales cinco han sido calificados como críticos, nueve con nivel alto y dos con nivel medio. La explotación de estas debilidades podría conceder privilegios de superusuario, burlar los mecanismos de control de acceso, alterar solicitudes o respuestas en el protocolo HTTP, interferir con la información almacenada en la caché y generar interrupciones en el servicio.
Entre los problemas más graves se encuentran vulnerabilidades específicas que afectan a distintas versiones de los programas mencionados. En Apache Pulsar destaca un fallo de autorización donde se pueden aceptar roles de tokens sin una verificación adecuada de la firma, posibilitando que un atacante sin autenticación obtenga privilegios elevados. Por otro lado, en Apache Traffic Server se han detectado fallos que permiten la inyección de argumentos a través de complementos, la reutilización indebida de conexiones con servidores de origen, el procesamiento inadecuado de respuestas HTTP específicas que facilitan la manipulación de la caché, y la falta de autenticación en componentes experimentales de memoria caché.
Para mitigar estos riesgos, se aconseja aplicar las actualizaciones correspondientes proporcionadas por los desarrolladores para cada rama de software afectada. En los casos donde la actualización no sea viable de inmediato, se sugieren medidas temporales de mitigación como la eliminación de ciertas configuraciones de usuario anónimo, la restricción de accesos a interfaces web o el ajuste de parámetros específicos de configuración relacionados con el manejo de tráfico y conexiones.