информация за уязвимости в прокси сървър , които без излишна публичност бяха отстранени още миналата година в версия Squid 4.8. Проблемите присъстват в кода за обработка на блока «@» в началото на URL («user@host») и позволяват заобикаляне на правилата за достъп, изпращане на съдържание от кеша и извършване на атака чрез междусайтово скриптиране.
- — клиентът с помощта на специално оформен URL може да заобиколи правилата, зададени с директивата url_regex, и да получи конфиденциална информация за проксито и обработвания трафик (да получи достъп до интерфейса на Cache Manager).
- — чрез манипулиране на данните за потребителското име в URL може да се постигне запазването в кеша на фалшиво съдържание за определена страница, което например може да се използва за изпълнение на собствен JavaScript код в контекста на други сайтове.
Източник: opennet.ru
