CVE catalog

CVE-2009-2936

varnish: CVE-2009-2936

Severity: Low
Published: Apr 5, 2010, 4:30:00 PM UTC
Source: [NVD] · [CVE record]
EPSS: 63.82% · Oct 25, 2026

The Command Line Interface (aka Server CLI or administration interface) in the master process in the reverse proxy server in Varnish before 2.1.0 does not require authentication for commands received through a TCP port, which allows remote attackers to (1) execute arbitrary code via a vcl.inline directive that provides a VCL configuration file containing inline C code; (2) change the ownership of the master process via param.set, stop, and start directives; (3) read the initial line of an arbitrary file via a vcl.load directive; or (4) conduct cross-site request forgery (CSRF) attacks that leverage a victim's location on a trusted network and improper input validation of directives. NOTE: the vendor disputes this report, saying that it is "fundamentally misguided and pointless.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

Distribution	Package	Release	Version	Status
Debian	varnish	trixie	`7.7.0-3+deb13u1`	fixed
Debian	varnish	trixie-security	`7.7.0-3+deb13u2`	fixed
Debian	varnish	bookworm	`7.1.1-2+deb12u1`	fixed
Debian	varnish	bookworm-security	`7.1.1-2+deb12u1`	fixed

Fixed-version evidence

Distribution	Package	Type	Release	Fixed version	Urgency	Origin	Bugs
Debian	varnish	source	trixie	`2.1.0-2`	unimportant	Not reported	Not reported
Debian	varnish	source	bookworm	`2.1.0-2`	unimportant	Not reported	Not reported

OpenFactory catalog packages

Matching against OpenFactory catalog package versions is in progress.

[Debian 12 (Bookworm)]

[libvarnishapi3]Unknown
Source package: [varnish]
Details (4)
- 7.1.1-2+deb12u1 · amd64 · bookworm
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
- 7.1.1-2+deb12u1 · arm64 · bookworm
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
- 7.1.1-2+deb12u1 · amd64 · bookworm-security
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
- 7.1.1-2+deb12u1 · arm64 · bookworm-security
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
[libvarnishapi-dev]Unknown
Source package: [varnish]
Details (4)
- 7.1.1-2+deb12u1 · amd64 · bookworm
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
- 7.1.1-2+deb12u1 · arm64 · bookworm
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
- 7.1.1-2+deb12u1 · amd64 · bookworm-security
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
- 7.1.1-2+deb12u1 · arm64 · bookworm-security
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
[varnish]Unknown
Details (4)
- 7.1.1-2+deb12u1 · amd64 · bookworm
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
- 7.1.1-2+deb12u1 · arm64 · bookworm
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
- 7.1.1-2+deb12u1 · amd64 · bookworm-security
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
- 7.1.1-2+deb12u1 · arm64 · bookworm-security
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
[varnish-doc]Unknown
Source package: [varnish]
Details (4)
- 7.1.1-2+deb12u1 · all · bookworm
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
- 7.1.1-2+deb12u1 · all · bookworm
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
- 7.1.1-2+deb12u1 · all · bookworm-security
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12
- 7.1.1-2+deb12u1 · all · bookworm-security
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · bookworm; dsa · varnish · debian · 12

[Debian 13 (Trixie)]

[libvarnishapi3]Unknown
Source package: [varnish]
Details (4)
- 7.7.0-3+deb13u1 · amd64 · trixie
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
- 7.7.0-3+deb13u1 · arm64 · trixie
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
- 7.7.0-3+deb13u1 · amd64 · trixie-security · Historical version
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
- 7.7.0-3+deb13u1 · arm64 · trixie-security
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
[libvarnishapi-dev]Unknown
Source package: [varnish]
Details (4)
- 7.7.0-3+deb13u1 · amd64 · trixie
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
- 7.7.0-3+deb13u1 · arm64 · trixie
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
- 7.7.0-3+deb13u1 · amd64 · trixie-security · Historical version
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
- 7.7.0-3+deb13u1 · arm64 · trixie-security
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
[varnish]Unknown
Details (4)
- 7.7.0-3+deb13u1 · amd64 · trixie
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
- 7.7.0-3+deb13u1 · arm64 · trixie
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
- 7.7.0-3+deb13u1 · amd64 · trixie-security · Historical version
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
- 7.7.0-3+deb13u1 · arm64 · trixie-security
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
[varnish-doc]Unknown
Source package: [varnish]
Details (4)
- 7.7.0-3+deb13u1 · all · trixie
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
- 7.7.0-3+deb13u1 · all · trixie
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
- 7.7.0-3+deb13u1 · all · trixie-security
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13
- 7.7.0-3+deb13u1 · all · trixie-security · Historical version
  Fixed · Fixed: 2.1.0-2
  dsa · varnish · debian · 13

Observed: Oct 23, 2026, 5:04:38 PM UTC

References

[Debian Security Tracker] · [FIRST EPSS] · [OSV Package Vulnerability Database]