FICHE CVE

CVE-2026-65100

Publiée le 2026-07-29 · Dernière modification le 2026-10-01

🇫🇷 EN BREF

Apache Traffic Server (versions 8.0.0 à 10.1.3) est susceptible de présenter une erreur de synchronisation lors du traitement des blocs d'en-têtes HTTP/2. Un attaquant distant non authentifié peut déclencher ce problème en envoyant un trafic réseau spécifiquement conçu, entraînant la corruption des en-têtes suivants sur cette connexion. Bien que cela puisse mener à une perte partielle d'intégrité pour les sessions concernées, cela ne permet pas d'accéder au système ni de divulguer des données privées.

CVSS 4.06.3 MOYENNE

Type de faiblesse

CWE-696

Publiée2026-07-29

Dernière modification2026-10-01

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

security@apache.org

Description officielle du NVD (en anglais)

Apache Traffic Server updates the HTTP/2 HPACK dynamic table before confirming the header block encoded successfully, so an encode failure leaves the encoder out of sync with the peer decoder and corrupts subsequent header blocks on the connection. This issue affects Apache Traffic Server: from 8.0.0 through 8.1.11, from 9.0.0 through 9.2.14, from 10.0.0 through 10.1.3. Users are recommended to upgrade to version 9.2.15 or 10.1.4, which fix the issue.