Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en productos de Apache

Resumen de la alerta

Apache ha corregido 16 vulnerabilidades que afectan a Apache Pulsar y Apache Traffic Server. El conjunto incluye cinco fallos críticos, nueve de severidad alta y dos de severidad media.

Los problemas identificados pueden comprometer mecanismos de autenticación y autorización, permitir la manipulación de peticiones y respuestas HTTP, afectar a la integridad de la caché de un proxy, exponer su contenido o provocar condiciones de denegación de servicio.

Entre los riesgos más relevantes se encuentran la posible obtención de privilegios de superusuario en Apache Pulsar, ataques de desincronización HTTP y envenenamiento de caché en Apache Traffic Server, así como acceso no autenticado a una caché compartida cuando está habilitado el complemento experimental afectado.

La información disponible indica ausencia de explotación conocida para las cinco vulnerabilidades críticas detalladas en el aviso. No obstante, las organizaciones que operen versiones afectadas deberían priorizar la actualización o aplicar las mitigaciones publicadas cuando no sea posible corregir de inmediato.

Recursos afectados

Los productos y versiones afectados son los siguientes:

• Apache Pulsar: versiones iguales o posteriores a 2.8.1 y anteriores a 4.0.14.
• Apache Pulsar: versiones iguales o posteriores a 4.1.0 y anteriores a 4.2.5.
• Apache Traffic Server: desde la versión 8.0.0 hasta la 8.1.11.
• Apache Traffic Server: desde la versión 9.0.0 hasta la 9.2.15.
• Apache Traffic Server: desde la versión 10.0.0 hasta la 10.1.4.
• Apache Traffic Server: versión 10.2.0.

Descripción de las vulnerabilidades

Las cinco vulnerabilidades críticas afectan a componentes con funciones especialmente sensibles: autorización basada en tokens, procesamiento de imágenes, gestión de conexiones HTTP, tratamiento de respuestas almacenadas en caché y acceso a una caché compartida.

• CVE-2026-105869 — Apache Pulsar: el proveedor MultiRolesTokenAuthorizationProvider puede utilizar los roles incluidos en un JWT sin comprobar la firma cuando una solicitud con credenciales no válidas termina procesándose como usuario anónimo. Un JWT es un token utilizado habitualmente para transportar información de identidad o autorización. En este caso, un atacante no autenticado podría presentar un token falsificado o sin firma y asumir los roles incluidos en él.
• CVE-2026-111813 — Apache Traffic Server: existe una inyección de argumentos en el complemento experimental magick. Con la configuración predeterminada y sin firma, los parámetros de consulta enviados por el cliente se transmiten sin filtrado a la herramienta convert de ImageMagick durante el procesamiento de imágenes. Esto podría permitir controlar los argumentos empleados por dicha herramienta.
• CVE-2025-31699 — Apache Traffic Server: el proxy puede reutilizar una conexión con el servidor de origen antes de que este haya terminado de recibir el cuerpo de una petición anterior. Como consecuencia, el origen podría interpretar una petición posterior como parte de la solicitud previa. Este tipo de situación puede facilitar la introducción de peticiones que eludan controles de acceso, interfieran en solicitudes de otros usuarios o afecten a la caché.
• CVE-2026-111816 — Apache Traffic Server: un tratamiento incorrecto de respuestas HTTP 302 malformadas puede impedir que se rechacen debido a una excepción relacionada con Transfer-Encoding: chunked. Las respuestas podrían almacenarse y entregarse aunque sean interpretadas de forma distinta por los extremos de la conexión, creando condiciones para desincronización de respuestas y envenenamiento de caché.
• CVE-2026-111811 — Apache Traffic Server: el complemento experimental tsmemcache carece de autenticación. Un atacante con acceso de red podría leer, escribir o eliminar el contenido de la caché compartida del proxy sin credenciales.

Además de estos cinco CVE críticos, Apache ha informado de otras once vulnerabilidades, clasificadas como nueve de severidad alta y dos de severidad media.

Impacto y nivel de riesgo

La prioridad de respuesta debe ser elevada para los entornos expuestos que utilicen las versiones afectadas, especialmente cuando Apache Pulsar gestione autorización mediante JWT o cuando Apache Traffic Server opere como proxy, gestione caché o tenga activos los complementos experimentales mencionados.

En Apache Pulsar, la explotación de CVE-2026-105869 podría permitir a un atacante no autenticado asumir un rol configurado en superUserRoles. En ese supuesto, podría consultar o modificar inquilinos, espacios de nombres, temas, permisos y configuración del broker.

En Apache Traffic Server, los fallos descritos podrían permitir manipular el procesamiento de imágenes, introducir solicitudes que eludan controles de acceso, interferir con peticiones de otros usuarios, modificar el comportamiento de la caché o acceder a su contenido. La lectura, escritura o eliminación no autorizada de elementos almacenados en caché puede afectar tanto a la disponibilidad como a la integridad de los servicios entregados a través del proxy.

Estos escenarios describen impactos potenciales. Para los cinco CVE críticos detallados, el aviso señala que no existe explotación conocida.

Solución y medidas recomendadas

Para Apache Pulsar, se recomienda actualizar a la versión 4.0.14 o 4.2.5, según la rama utilizada, o a una versión posterior que incorpore las correcciones.

Si la actualización de Apache Pulsar no puede realizarse de inmediato, la mitigación indicada consiste en eliminar la configuración anonymousUserRole del broker y del servicio WebSocket, o restringir el acceso a sus interfaces HTTP a clientes de confianza.

Para Apache Traffic Server, deben aplicarse las siguientes versiones corregidas según la rama desplegada:

• Actualizar a 9.2.16.
• Actualizar a 10.1.5.
• Actualizar a 10.2.1.

Los entornos que utilicen versiones anteriores de Apache Traffic Server deben migrar a una versión corregida.

Es importante considerar que Apache Traffic Server 9.2.16 no corrige CVE-2026-111817. Para solucionar esta vulnerabilidad debe actualizarse a la versión 10.1.5 o 10.2.1. Si se mantiene la rama 9.2.x, debe permanecer deshabilitada la opción proxy.config.http.drop_chunked_trailers.

Recomendaciones para organizaciones afectadas

1. Identificar las instancias de Apache Pulsar y Apache Traffic Server desplegadas, junto con sus versiones y ramas de mantenimiento.
2. Priorizar la actualización de los sistemas expuestos, de aquellos que procesen tráfico HTTP de usuarios no confiables y de los que utilicen mecanismos de caché o complementos experimentales afectados.
3. En Apache Pulsar, revisar con urgencia el uso de anonymousUserRole y aplicar la mitigación indicada si la actualización debe posponerse.
4. En Apache Traffic Server, comprobar si están habilitados los complementos experimentales magick y tsmemcache, ya que forman parte de los fallos críticos descritos.
5. Antes de mantener Apache Traffic Server en la rama 9.2.x, verificar la condición específica asociada a proxy.config.http.drop_chunked_trailers para CVE-2026-111817.
6. Planificar las actualizaciones siguiendo los procedimientos internos de gestión de cambios y validarlas en los servicios dependientes antes de aplicarlas en producción.