Apache Traffic Server: عالج 15 ثغرة وتحقق من كل حد أمني

أصدرت Apache Traffic Server في 20 أكتوبر 2026 الإصدارات 9.2.16 و10.1.5 و10.2.1 لمعالجة 15 ثغرة أمنية في Plugins وTLS Session Reuse وHTTP Parsing وRequest Framing والوصول إلى Cache ومسارات حجب الخدمة. تصنف Apache ثغرتين Critical، بينما تحمل ثغرات أخرى درجات CVSS تقنية تصل إلى 9.0 أو10.0 رغم أن تصنيف المشروع لها Important أوModerate. إذا كانت Traffic Server أمام خدماتك، فالمطلوب ليس تحديث Package فقط؛ بل إثبات تغيير كل Process عاملة والتحقق من Plugins ومسارات mTLS وSNI وHTTP/1 وHTTP/2 والـOrigins خلف الـProxy.

يفصل المقال بين الحقائق الموثقة والتوصيات. عدد CVEs وتصنيفاتها والمكونات المتأثرة والإصدارات المصححة مأخوذة من نشرة Apache وسجل الإصدارات، وتم التحقق منها في 30 أكتوبر 2026. أما أوامر الجرد وبوابات النشر وأفكار الكشف وخطة مراجعة الحوادث فهي توصيات تشغيلية وليست ادعاءً بأن Apache تفرض Workflow محددة.

الخلاصة أولًا

حدّث كل Apache Traffic Server فعّالة إلى 9.2.16 أو10.1.5 أو10.2.1. لا تعتبر نجاح Package Manager دليلًا كافيًا: أثبت أن Running Binary تغيرت، وأن كل Worker قديمة خرجت، وافحص Plugins التجريبية المحملة، واختبر حدود mTLS وSNI، وتحقق من HTTP Framing والـCache والـOrigins.

أجب بسرعة عن أسئلة التعرض التالية:

1. هل Plugin باسم magick مفعلة بإعدادها unsigned الافتراضي؟
2. هل wasm محملة على إصدار 10.x؟
3. هل ATS تعيد استخدام Outbound TLS Sessions بين Routes تستخدم Client Certificates مختلفة؟
4. هل SNI Virtual Hosts تطبق سياسات verify_client مختلفة؟
5. هل يصل عملاء غير موثوقين إلى HTTP/1 أوHTTP/2 مع Origin Connection Reuse أوShared Cache؟
6. هل origin_server_auth أوtsmemcache مفعّلتان؟

إذا كانت أي إجابة «نعم» أو«غير معروف»، فتعامل مع الـProxy كمعرّضة حتى تعمل النسخة المصححة على كل Instance. تعطيل Plugin اختيارية يقلل مسارًا واحدًا فقط؛ ولا يعالج بقية ثغرات Parser وTLS وCache وحجب الخدمة.

ماذا أصلحت Apache؟

تسرد النشرة 15 ثغرة: 2 Critical و8 Important و5 Moderate بحسب نظام Apache. وتوزعها إلى خمس ثغرات Denial of Service، وأربع Request Smuggling، وثلاث Access-control Bypass، وثغرة Argument Injection، وثغرة Memory Safety، وثغرة Spoofing أوCertificate Trust.

توضح Apache أن Severity لديها تراعي الأثر وقابلية الاستغلال في Default Configuration، بينما يمكن أن تكون CVSS Base Score أعلى عندما تتطلب الثغرة Component محددة أوإعدادًا غير افتراضي. لهذا ترى Advisories مصنفة Important أوModerate بدرجة CVSS 10.0.

لا تقول نشرة Apache إن هذه الثغرات تستغل حاليًا في البرية. هذا لا يثبت غياب الاستغلال؛ بل يعني أن المصدر الأولي العام الذي تمت مراجعته يوثق الثغرات والإصلاحات من دون ادعاء In-the-wild Exploitation. افصل دائمًا بين محاولة استغلال مرصودة، ووصول فعلي للمسار الضعيف، وأثر غير مصرح مثبت، واختراق مؤكد.

ابن جرد تعرض من Runtime لاSpreadsheet

لا يكفي سجل CMDB إذا كان الواقع تغير. اقرأ Binary وConfiguration اللتين تنتجان حركة المرور فعليًا.

traffic_server -V
traffic_ctl config match proxy.config
traffic_ctl plugin msg all inventory
ps -eo pid,lstart,cmd | grep traffic_server

تختلف الأوامر الدقيقة حسب Package وطريقة التشغيل، لكن الدليل المطلوب ثابت:

• Host أوContainer Image Digest أوهوية Immutable Node؛
• إصدار ATS وBuild Information؛
• مصدر Package وChecksum أوSignature المتوقعة؛
• Loaded Plugins وDigest لإعداداتها؛
• Listener Protocols والعناوين المكشوفة؛
• سياسة SNI وClient Certificate لكل Virtual Host؛
• Outbound Certificate Mapping وSession-sharing Policy؛
• Origin Connection Reuse وإعداد Cache وRemap؛
• أوقات بدء Worker Processes؛
• Deployment أوConfiguration Revision الحالية.

ابحث في Source Configuration والملفات المولدة على Runtime عن magick وwasm وorigin_server_auth وtsmemcache. وافحص Plugin Directory داخل Artifact. وجود Binary للـPlugin لا يثبت تحميلها، وComment في Source File لا يثبت أن Generated Configuration تستبعدها.

بالنسبة إلى CVE-2026-111813، حدد هل يصل Input غير موقع من العميل إلى magick، وهل ImageMagick Process تملك Network أوFilesystem أوSecrets. وبالنسبة إلى CVE-2026-111812، حدد IAM Role الخاصة بـorigin_server_auth والوجهات وHeaders التي يفترض أن توقعها. هذا يرسم Blast Radius دون تشغيل Payload خطرة في الإنتاج.

اختر Target Release بوعي

تعرف Apache الإصدار 9.2.16 كإصلاح LTS للخط 9.x، وتعرض 10.2.1 كالإصدار الحالي للخط 10.x؛ كما أن 10.1.5 مصحح وفق النشرة وسجل الإصدارات. اختر أحدث خط مدعوم متوافق أصلًا مع Plugins وDeployment Model لديك. لا تجمع ترقية Security عاجلة مع Major Migration غير مختبرة.

تحقق من SHA-512 وOpenPGP Signature من المشروع قبل بناء Image. سجل Source URL وDigest ونتيجة Signature Verification وBuild Run والـImage Digest الناتجة. Mutable Tag مثل ats:10 ليست دليلًا قابلًا للتدقيق.

إصدار معتمد -> Source أوPackage متحقق منها -> Immutable Image
             -> Protocol Tests في Staging -> Canary Proxy
             -> فحص Origin وCache -> نشر Fleet
             -> إثبات خروج Workers القديمة -> External Verification

انشر دون إبقاء Workers ضعيفة

ابدأ Canary تستقبل Traffic ممثلة ضمن Blast Radius محدودة. اختبر على الأقل:

• HTTP/1.1 Keep-alive وRequest Bodies الطبيعية؛
• HTTP/2 المحولة إلى HTTP/1.1 Origins؛
• مسارات Expect: 100-continue؛
• HEAD Responses وChunked Transfer؛
• 302 Responses من Origins ممثلة؛
• Cache Fill وHit وBypass وPurge وStale؛
• SNI Routing وTLS Resumption وكل Client-certificate Policy؛
• كل Loaded Plugin؛
• Origin Pools وWorker Saturation؛
• Config Reload وRollback.

قارن Error Rates وCache Hits وConnection Reuse وOrigin Latency وWorker Occupancy وLog Volume وTLS Failures بخط أساس نظيف. التحديث يغير منطقًا حساسًا في Framing وSession Handling؛ Green Health Endpoint وحدها دليل ضعيف.

بعد التعميم، تحقق من Process Start Time وBinary Version على كل Node. قد يغير Config Reload الإعدادات من دون استبدال Executable أوكل Worker قديمة. في Containers، أثبت Running Image Digest واستبدال Pods أوTasks. وعلى Hosts، أثبت Package Version وخروج كل PID بدأت قبل التحديث.

تحقق من حدود الأمان

ابن فحوص Outcomes لاExploit Strings.

لا تشغّل Proof-of-concept عامة على Production. قد تفسد اختبارات Request Smuggling Shared Connections وتؤثر في مستخدمين آخرين، وقد تنفذ Argument Injection عمليات غير مقصودة. استخدم بيئة معزولة وSynthetic Origins وDisposable Cache.

راجع دليل محاولة الاستغلال أوالاختراق

عدم وجود ادعاء استغلال في نشرة Apache لا يغلق Incident Review. راجع الدليل وفق المسارات التي كانت مفعلة لديك:

• magick: Child Processes غير متوقعة لـImageMagick وArguments غريبة وFilesystem أوNetwork Access وCrashes وPlugin Errors.
• wasm: Transaction-close Crashes وMetric IDs غير صالحة وStats مشوهة أوWorker Restarts مجهولة.
• TLS: Certificate Identity لا تطابق Remap Route، وResumed Session تعبر SNI Host، وOrigin Logs تسجل Client Principal خطأ.
• Request Smuggling: اختلاف عدد الطلبات بين Proxy وOrigin، وأنماط 400 أو502 شاذة، وCache Objects مرتبطة بتسلسل مستحيل، أوResponse لعميل على Connection آخر.
• HTTP/2 Exhaustion: تشبع Origin Workers دون Completed Requests مقابلة، وBodies ناقصة طويلة وQueue Growth.
• origin_server_auth: AWS Audit Events تتضمن Headers أوServices أوResource Targets غير متوقعة.
• tsmemcache: وصول شبكي إلى Plugin Port وتغييرات Cache دون Administrative Action وPurges غير مفسرة.

صنف النتائج بدقة: Scanner أوMalformed Request مرصودة؛ Vulnerable Path تم الوصول إليها؛ Unauthorized Effect مثبت؛ Compromise مؤكد. لا تسم محاولة Probe اختراقًا، ولا تغلق التحديث مع بقاء Instances قديمة أوEvidence غير محسومة.

أفضل الممارسات

• احتفظ بجرد Machine-readable للإصدارات وPlugins وConfiguration Digests.
• أزل Experimental Plugins غير المستخدمة.
• شغّل Plugins وImageMagick بأقل Filesystem وNetwork وCredential Access.
• افصل Client-certificate Identities واختبر Session Reuse صراحة.
• اربط Proxy وOrigin Request Counts وTrace IDs.
• عامل Cache Writes كتغييرات حالة أمنية.
• تحقق من Release Signatures وثبت Immutable Image Digests.
• استبدل كل Worker لاPackage على Disk فقط.
• اجعل Rollback يعيد إصدارًا مصححًا آخر، لاImage ضعيفة.
• احتفظ بأدلة Before وAfter لسجل التغيير.

Anti-patterns والقيود

• تحديث Hosts في Load Balancer فقط وترك Standby أوDisaster-recovery Nodes ضعيفة.
• تعطيل magick واعتبار الثغرات الخمس عشرة معالجة.
• الثقة في Package Database من دون فحص Running Processes.
• اختبار Request Smuggling على Shared Production Connections.
• معاملة Apache Severity كأنها CVSS نفسها.
• ادعاء استغلال نشط بلاPrimary Evidence.
• اعتبار Accepted Deployment أوScanner نظيفة دليلًا على عدم وجود اختراق.
• إعادة Vulnerable Image عند Rollback.

لا يستطيع Version String وحده تحديد التعرض. Plugin Enablement وTLS Policy وProxy Chaining وOrigin Behavior وCache Configuration تغير الخطر ماديًا. تحقق من كل حد عبر Runtime المنشورة.

Checklist تنفيذية

1. احصر كل ATS Instance وVersion وImage Digest وProcess Start Time.
2. اجرد Loaded Plugins وكل Generated Configuration.
3. ارسم SNI وClient Certificates وOrigin Pools وHTTP/1 وHTTP/2 وCache Paths.
4. حدّث إلى 9.2.16 أو10.1.5 أو10.2.1.
5. تحقق من SHA-512 وOpenPGP قبل البناء.
6. اختبر Plugins وFraming وCache وTLS وOrigin Pools في عزل.
7. انشر Canary وقارن Protocol وOrigin Metrics.
8. استبدل Workers القديمة وأثبت Running Binary أوImage Digest.
9. راجع Logs وAudit Records الخاصة بكل مسار.
10. أغلق المهمة فقط بعد إثبات Fleet Coverage والسلوك الخارجي.

اقرأ أيضًا: تحديث NGINX الأمني في أكتوبر 2026، وتحديث Apache Tomcat الأمني، ودليل إصلاح curl وHTTP/2، ومركز Cloud وDevOps وKubernetes، وخدمات هندسة Backend وAPI.

المراجع الأساسية

• Apache Traffic Server — October 2026 CVE Release
• Apache Traffic Server — أخبار المشروع
• Apache Traffic Server — التنزيل والتحقق من التوقيعات
• Apache Release Catalog — إصدارات Traffic Server
• Wikimedia Commons — EthernetSwitch2.jpg
• Creative Commons — CC0 1.0 Universal

إعداد: Noor Yasser

إعداد: Noor Yasser