Apache Software Foundation

Vulnerabilities tagged with this 100

• High 8.7 Apache Abdera XML解析で外部エンティティが展開され情報漏えいのおそれ Apache Abderaでは、攻撃者が用意したXMLを解析させると、外部エンティティの展開により機密データへのアクセスやサーバー側からの要求が行われるおそれがあります。影響は全バージョンに及びますが、本製品は保守が終了しており修正版は提供されません。代替製品への移行をご検討ください。移行できない場合は、信頼できないXMLが該当する解析処理に届かないようにしてください。 CVE-2026-113582 Oct 22, 22:27
• Unrated Out-of-bounds read and write in the Count-Min sketch deserialization of Apache DataSketches C++ ... CVE-2026-103634 Oct 22, 15:42
• Medium 8.2 Apache Traffic Serverで細工されたPOSTによりサービスが停止する クライアントのPOSTリクエストが半クローズで切断された際、ヌルポインタ参照によりApache Traffic Serverがクラッシュする場合があります。影響を受けるのは9.2.15、10.1.4、10.2.0です。9.2.16、10.1.5、10.2.1以降の修正版へのアップグレードをおすすめします。 CVE-2026-112381 Oct 22, 04:20
• Medium 6.9 Apache Traffic Server can stall a chunked transfer that it passes through with its trailers... CVE-2026-111817 Oct 22, 04:20
• Critical 10.0 Apache Traffic Serverに署名悪用の弱点 修正版あり Apache Traffic Serverのorigin_server_authプラグインに、外部から送られた細工入りのAWS向けヘッダーに、プロキシ自身の認証情報で署名させられる弱点が見つかりました。このプラグインでAWS側のオリジンへ接続しているサーバーが影響を受けます。9.2.16、10.1.5、10.2.1のいずれかへ更新し、更新できるまでは接続元の制限とAWS側権限の見直しを行ってください。 CVE-2026-111812 Oct 22, 04:18
• Critical 9.4 Apache Traffic Serverで無認証のキャッシュ操作、修正版あり Apache Traffic Server の実験的プラグイン tsmemcache に認証の欠如があり、ネットワーク越しに誰でも共有キャッシュの読み取り・書き込み・削除ができる状態になります。このプラグインを有効にしている組織が対象で、9.2.16、10.1.5、10.2.1 のいずれかへの更新が案内されています。まず自社の環境でプラグインを使っているかを確かめてください。 CVE-2026-111811 Oct 22, 04:17
• Critical 9.3 Apache Traffic Server にリクエスト密輸の弱点、修正版あり Apache Traffic Server に、HEAD リクエストの扱いを突いて通信の区切りを食い違わせ、不正なリクエストを紛れ込ませられる弱点が見つかりました。8.x、9.x、10.x の広い範囲の版が対象で、9.2.16、10.1.5、10.2.1 で修正されています。Traffic Server を社内外向けのプロキシやキャッシュとして使っている組織は、版を確認して更新を計画してください。 CVE-2026-111809 Oct 22, 04:16
• High 8.7 Apache Traffic Serverで大量のログを書き出させられ資源を枯渇させられるおそれ Apache Traffic Serverは、内部用の@ヘッダーを取り除くたびに制限なしで診断ログを1行書き出すため、多数のこのヘッダーを含むリクエストでログが大量に増え、サービス妨害につながるおそれがあります。影響を受けるのは9.2.15、10.1.4、10.2.0です。9.2.16、10.1.5、10.2.1以降へのアップデートで修正されているため、速やかに更新してください。 CVE-2026-111810 Oct 22, 04:14
• Critical 10.0 Apache Traffic Server、証明書検証の回避 修正版あり Apache Traffic Server に、クライアント証明書を必須にしたホストへ、証明書を再確認されないまま接続できてしまう弱点が見つかりました。SNI で複数のホストを振り分け、一部に verify_client STRICT を設定している環境が対象で、9.2.16、10.1.5、10.2.1 で修正されています。該当する構成かを確認し、早めに修正版へ更新してください。 CVE-2026-111815 Oct 22, 04:13
• Critical 10.0 Apache Traffic Serverに証明書取り違え 修正版あり Apache Traffic Serverで、あるクライアント証明書で認証した接続が、別の証明書を使うはずの通信に使い回されることがある弱点が見つかりました。9.0.0から9.2.15、10.0.0から10.1.4、10.2.0が対象で、9.2.16、10.1.5、10.2.1で修正されています。バックエンドへの接続でクライアント証明書を使い分けている組織は、版を確認して更新を計画してください。 CVE-2026-111814 Oct 22, 04:13
• High 8.6 Apache Traffic Serverに細工したHTTP/2フレームで接続の処理が枯渇する脆弱性 細工された不正なパディング付きHTTP/2のDATAフレームにより、HTTP/1.1のオリジンサーバーへのワーカープールが枯渇するおそれがあります。影響を受けるのはApache Traffic Serverの8.0.0から8.1.11、9.0.0から9.2.15、10.0.0から10.1.4、10.2.0です。9.2.16、10.1.5、10.2.1以降へアップグレードしてください。 CVE-2026-111808 Oct 22, 04:11
• High 8.6 Apache Traffic Serverに切り詰められたHTTP/2のContent-Lengthを悪用されサービス停止のおそれ Apache Traffic Serverでは、切り詰められたHTTP/2のContent-Length値によって、HTTP/1.1のオリジンサーバーのワーカープールが枯渇するおそれがあります。影響を受けるのは8.0.0から8.1.11、9.0.0から9.2.15、10.0.0から10.1.4、10.2.0です。9.2.16、10.1.5、10.2.1以降へのアップグレードが推奨されています。 CVE-2026-111805 Oct 22, 04:10
• Critical 9.3 Apache Traffic Server、キャッシュ汚染の欠陥 修正版あり Apache Traffic Server に、不正な形式の 302 応答を拒否せず通してしまい、キャッシュに保存して配信する欠陥が見つかりました。リバースプロキシやキャッシュとして使っている組織が対象で、認証なしにネットワーク経由で悪用される可能性があります。9.2.16、10.1.5、10.2.1 のいずれかへの更新を、早めに進めてください。 CVE-2026-111816 Oct 22, 03:26
• High 8.7 Apache Traffic Serverで リクエスト混入によるスマグリングの脆弱性 Apache Traffic Serverで、Expect: 100-continue を含むPOSTの未読ボディが次のリクエストとして解釈される問題が見つかりました。フロントエンドプロキシを経由する攻撃者により、他のユーザーの応答が入れ替わるおそれがあります。影響を受けるのは8.0.0から8.1.11、9.0.0から9.2.15、10.0.0から10.1.4までの版です。9.2.16、10.1.5、10.2.1以降へのアップデートが推奨されています。 CVE-2025-55702 Oct 22, 03:24
• High 9.1 Apache Traffic Server、リクエスト密輸の弱点 修正版あり Apache Traffic Server(ATS)に、クライアントが送り切らなかったリクエスト本文の扱いを誤り、後続のリクエストが紛れ込む弱点が見つかりました。ATSをリバースプロキシやキャッシュとして使う組織が対象で、アクセス制御の回避、他の利用者への妨害、キャッシュの汚染につながるおそれがあります。9.2.16、10.1.5、10.2.1のいずれかへの更新を、計画を立てて早めに進めてください。 CVE-2025-31699 Oct 22, 03:22
• High 8.8 Apache Traffic Serverのwasmプラグインで解放後使用の脆弱性 Apache Traffic Serverの実験的なwasmプラグインに、解放後使用(CWE-416)の脆弱性が見つかりました。攻撃者により任意のコードを実行されるおそれがあり、CVSS v4.0の基本値は8.8です。影響を受けるのは10.0.0から10.1.4および10.2.0で、10.1.5または10.2.1へのアップデートが推奨されています。 CVE-2026-111804 Oct 22, 03:21
• Critical 10.0 Apache Traffic Serverのmagick欠陥、修正版あり Apache Traffic Server の実験的な magick プラグインに、認証なしの外部クライアントが ImageMagick の convert に渡す引数を操作できる欠陥が見つかりました。このプラグインを有効にしている環境が対象で、修正版は 9.2.16、10.1.5、10.2.1 です。まず自社でプラグインを使っているかを確認し、使っていれば更新するか、プラグインを無効にしてください。 CVE-2026-111813 Oct 22, 03:20
• High 7.7 Apache Pulsarでパッケージを不正に取得・改ざん・削除される脆弱性 認証済みの利用者が、権限のない他のテナントやネームスペースのパッケージを取得、上書き、削除できる脆弱性です。パッケージ管理機能をファイルシステム保存で有効にしている環境が対象で、Pulsar FunctionsなどがCVE-2026-105945の影響を受ける可能性があります。影響を受けるのは4.0.14未満と4.1.0以上4.2.5未満の版で、4.0.14または4.2.5以降への更新が必要です。 CVE-2026-105945 Oct 22, 03:18
• Critical 10.0 Apache Pulsar Manager、認証なしで乗っ取り 修正版なし Apache Pulsar Manager に、ネットワーク越しに到達できる誰でも管理者になれる、あるいは Pulsar クラスタ用の認証情報を盗み取れる弱点が見つかりました。開発は終了しており修正版は出ません。利用中の組織は、外部や一般の社内ネットワークから届かないよう直ちに制限し、撤去と代替への移行を進めてください。 CVE-2026-105944 Oct 22, 03:17
• High 7.7 Apache Pulsarでプロキシ経由の利用者が本来の権限を超えて操作できる Apache Pulsarでは、プロキシ経由で転送されたリクエストの認可が不適切なため、利用者が本来持たない権限の操作を行えるおそれがあります。影響を受けるのは2.8.1以降4.0.14未満および4.1.0以降4.2.5未満の版です。4.0.14または4.2.5以降の修正版へ更新してください。 CVE-2026-105942 Oct 22, 03:14
• Low 2.3 Apache Pulsar namespaces can restrict which roles may use a subscription, either with the Prefix... CVE-2026-105938 Oct 22, 03:13
• High 8.7 Apache Pulsar 認可不備によりテナント間でメッセージを閲覧される 認証済みの利用者が、シャドウトピックの作成や設定変更の際に元のトピックへの認可を確認されない問題です。別テナントの永続トピックのメッセージを閲覧されるおそれがあり、CVSS v4.0 のスコアは 8.7 です。影響を受けるのは 3.0.0 以降 4.0.14 未満、4.1.0 以降 4.2.5 未満の Apache Pulsar で、4.0.14 または 4.2.5 以降へのアップデートが必要です。 CVE-2026-105937 Oct 22, 03:12
• Medium 5.3 The Pulsar Functions worker REST API provides two endpoints that return the catalog of Pulsar IO... CVE-2026-105936 Oct 22, 03:11
• Medium 4.9 The Pulsar Functions Worker provides a REST API endpoint for triggering a function, which... CVE-2026-105935 Oct 22, 03:10
• High 7.2 Apache Pulsarで認可を受けていない利用者がパーティション分割トピックを切り詰められる 認証済みの一般ユーザーが、テナント管理者でなくてもパーティション分割トピックを切り詰められる脆弱性です。ブローカーの内部認証情報で権限が判定される条件がそろうと悪用されるおそれがあります。影響を受けるのは Apache Pulsar 2.8.0 以降 4.0.14 未満、および 4.1.0 以降 4.2.5 未満で、4.0.14 または 4.2.5 以降への更新が必要です。 CVE-2026-105934 Oct 22, 03:08
• Low 2.3 Apache Pulsar allows an administrator to require end-to-end message encryption for all topics in... CVE-2026-105933 Oct 22, 03:07
• Low 2.3 The Apache Pulsar broker admin REST API provides endpoints to read, set and remove the topic... CVE-2026-105932 Oct 22, 03:06
• Low 2.3 The Apache Pulsar broker exposes a transaction administration REST API under /admin/v3... CVE-2026-105931 Oct 22, 03:02
• Medium 6.0 When package management is enabled, Pulsar Functions, Sources and Sinks can be registered or... CVE-2026-105930 Oct 22, 03:01
• Low 2.3 The Apache Pulsar WebSocket service allows a WebSocket consumer to configure a dead letter policy... CVE-2026-105927 Oct 22, 03:00