Traffic Server : le bandeau compte quinze, deux fiches ne nomment pas la 9.2.16

Le bandeau au-dessus de l'allée compte 15 caisses. Il en range 2 en Critical, 8 en Important, 5 en Moderate. Trois numéros de rayon sont peints juste dessous : 9.2.16, 10.1.5, 10.2.1. Le chapô, lui, dit que ces quinze failles touchent les sorties jusqu'à 9.2.15, 10.1.4 et 10.2.0 inclus, et que la plus grave est notée CVSS 10.0. Tu descends l'allée avec ce bandeau en tête. Deux fiches n'ont pas d'étiquette 9.2.16. Et le 10.0 du chapô, avec sa décimale, ne se retrouve sur aucune carte : quatre cartes disent CVSS 10, et l'une d'elles est rangée Moderate.

La page est l'avis d'octobre 2026 d'Apache Traffic Server. Les trois versions corrigées sont là, les quinze fiches aussi. Une phrase dit comment lire : Severity est la note Apache, l'impact et l'exploitabilité dans une configuration par défaut. CVSS est le score technique de base, qui peut être plus haut quand il faut des conditions particulières, ou une configuration qui n'est pas celle par défaut. La phrase explique un sens. Le rayon en montre un autre.

Deux fiches n'impriment pas le rayon 9.2

CVE-2026-111804, critique, CVSS 8.2. Le plugin expérimental wasm a un use-after-free dans son gestionnaire de fin de transaction, et il transmet à l'API de stats des identifiants de métriques fournis par l'invité, sans les valider. Type : Memory safety. Fixed in : 10.1.5 / 10.2.1. Pas de 9.2.16 sur cette ligne. La fiche ne dit pas que la branche 9.2 est hors de cause. Elle ne l'imprime pas dans le correctif.

CVE-2026-111817, modéré, CVSS 5.3. Retirer les trailers d'un transfert chunked que le proxy laisse passer (proxy.config.http.drop_chunked_trailers) peut le bloquer jusqu'au timeout, parce qu'il attend les octets de trailer qu'il a déjà jetés. La phrase d'après est précise : le retrait des trailers est activé par défaut en 10.x. En 9.2.x il est désactivé par défaut, et ces versions ne sont touchées que s'il est activé. Fixed in : encore 10.1.5 / 10.2.1, sans 9.2.16. Celle-là, au moins, dit à quelle condition le 9.2 entre dans l'allée. Le chapô, lui, avait mis 9.2.15 dans le « jusqu'à » des quinze.

Les treize autres fiches impriment 9.2.16 / 10.1.5 / 10.2.1. Je ne les déclare pas toutes également urgentes pour les trois branches. Je dis que leur ligne de correctif nomme les trois rayons, et que deux lignes n'en nomment que deux.

Le 10 du chapô a une décimale, et il n'est pas réservé aux critiques

Le chapô écrit CVSS 10.0. Les cartes qui portent un 10 l'écrivent CVSS 10, sans ,0.

• CVE-2026-111813, critique. Le plugin expérimental magick, dans sa configuration par défaut (non signée), laisse un client non authentifié piloter les arguments d'ImageMagick convert. Type : Argument injection. Signalé par Apache Community, The ASF, Abraxas Labs.
• CVE-2026-111814, important. La politique par défaut server_session_sharing.match omet MASK_CERT, et une session TLS mutualisée peut resservir un certificat client pour une transaction qui devait en présenter un autre. Type : Spoofing / cert trust. Le composant est écrit TLS / origin session sharing, avec des espaces autour de la barre.
• CVE-2026-111815, important. La reprise d'un ticket de session TLS traverse des hôtes virtuels SNI sans revérifier un certificat client exigé par verify_client STRICT. Type : Access-control bypass. Le composant est écrit TLS/SNI, sans espaces. Signalé par Yonghwa Lee, Xint by Theori. Je laisse la préposition.
• CVE-2026-111812, Moderate. Le plugin origin_server_auth signe, avec les identifiants IAM du proxy, des en-têtes AWS choisis par le client. Type : Access-control bypass. Même CVSS 10 que le Critical du magick. La note Apache, elle, dit Moderate. La phrase « comment lire » du haut de page avait prévenu que le CVSS peut dépasser la note Apache. Elle n'avait pas à inventer l'exemple : il est dans l'allée.

L'autre Critical, le wasm, est à 8.2. Deux Important sont à 10, un Moderate est à 10, et le Critical wasm est en dessous. La phrase du chapô ne décrit que le sens où le CVSS monte. Le rayon a aussi le sens où la note Apache monte et le chiffre descend.

Deux numéros disent 2025, le badge dit octobre 2026

Dans les Important, CVE-2025-31699, CVSS 8.9, et CVE-2025-55702, CVSS 8.7. Les deux parlent d'un corps de requête encore dû, avec Expect: 100-continue, et d'un enchaînement qui devient une autre requête. Le premier : la connexion vers l'origine retourne dans le pool alors que l'origine attend encore le corps. Le second : le corps non lu, resté sur la connexion du client, est relu comme la requête suivante. Les deux lignes Fixed in nomment les trois rayons. L'année du numéro n'est pas l'année du titre de page. Je ne les renumérote pas.

Le reste des chiffres, pour qui recompte. Par type, le badge dit 5 Denial of service, 4 Request smuggling, 3 Access-control bypass, 1 Argument injection, 1 Memory safety, 1 Spoofing / cert trust. Cinq plus quatre plus trois plus un plus un plus un, quinze. Deux plus huit plus cinq, quinze. Le badge et les fiches tombent d'accord sur le total. Ils ne tombent pas d'accord sur le rayon 9.2, ni sur ce que « le plus grave » veut dire.

La parenthèse sur l'avis précédent, celui de juillet 2026, dit fixed in 9.2.15 and 10.1.4. Deux numéros. Pas de 10.2 dans cette parenthèse. La page d'octobre, elle, met 10.2.0 dans les versions touchées et 10.2.1 dans les versions corrigées. Je n'ai pas ouvert l'avis de juillet. Je ne lui prête pas une troisième branche.

✍️ À toi : la page que tu as eue sous les yeux, le chapô ou une fiche, et le numéro de rayon qui y était. Le bandeau compte quinze et peint trois correctifs. Deux fiches n'impriment pas la 9.2.16. Le 10.0 du chapô est un 10 sur les cartes, et l'une de ces cartes est modérée.

Le chapô fait remonter les quinze failles jusqu'à 9.2.15, 10.1.4 et 10.2.0, et il note la plus grave CVSS 10.0. Les cartes Critical sont le magick à CVSS 10, corrigé sur les trois rayons, et le wasm à CVSS 8.2, corrigé en 10.1.5 et 10.2.1. La fiche des trailers, Moderate, CVSS 5.3, ne nomme pas non plus la 9.2.16, et elle dit que le 9.2.x n'est touché que si l'option est allumée. Quatre cartes disent CVSS 10, dont la Moderate CVE-2026-111812. Deux Important portent un numéro CVE-2025.