CVE-2025-66373
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W Akamai Ghost na serwerach brzegowych Akamai CDN przed 2025-11-17 występuje błąd przetwarzania ciała żądania chunked, który może prowadzić do przemytu żądań HTTP (HTTP request smuggling). Gdy Akamai Ghost otrzyma nieprawidłowe ciało chunked z rozmiarem chunk różnym od rzeczywistego rozmiaru danych, w pewnych okolicznościach błędnie przekazuje nieprawidłowe żądanie i nadmiarowe bajty do serwera origin, co może pozwolić atakującemu na ukrycie przemyconego żądania.
Ocena ryzyka
Podatność może pozwolić na przemyt żądań HTTP, co może prowadzić do obejścia mechanizmów bezpieczeństwa, zatrucia pamięci podręcznej lub nieautoryzowanego dostępu. Organizacje korzystające z Akamai CDN są narażone na tego typu ataki.
Rekomendacja
Zaktualizuj konfigurację Akamai Ghost do wersji zawierającej poprawkę (po 2025-11-17) lub skontaktuj się z Akamai w celu wdrożenia środków zaradczych. Monitoruj ruch pod kątem nietypowych żądań chunked.
Inne podatności w Akamai Ghost
Oryginalny opis (angielski, źródło NVD)
Akamai Ghost on Akamai CDN edge servers before 2025-11-17 has a chunked request body processing error that can result in HTTP request smuggling. When Akamai Ghost receives an invalid chunked body that includes a chunk size different from the actual size of the following chunk data, under certain circumstances, Akamai Ghost erroneously forwards the invalid request and subsequent superfluous bytes to the origin server. An attacker could hide a smuggled request in these superfluous bytes. Whether this is exploitable depends on the origin server's behavior and how it processes the invalid request it receives from Akamai Ghost.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS