Издаден прокси Squid 4.8 с коригирана критична уязвимост

публикувани коригиращо освобождаване на проксито Калмари 4.8, който поправи 5 уязвимости. Една уязвимост (CVE-2019-12527) Тя позволява на потенциално организира изпълнението на код с правата на сървърния процес.

Проблемът е причинен от грешка в HTTP Basic манипулатора за удостоверяване и позволява задействане на препълване на буфера при подаване на специални декорирани идентификационни данни при достъп до Squid Cache
Мениджър или вграден FTP шлюз. Уязвимостта е явна след пускането на Squid 4.0.23. Като заобиколно решение за блокиране на уязвимостта, можете да възстановите squid с опцията „--disable-auth-basic“ или да деактивирате достъпа до услуги, които използват HTTP удостоверяване в конфигурацията:

acl FTP прото FTP
http_access отказ на FTP
http_access deny мениджър

Останалите три уязвимости могат да доведат до отказ на услуга при манипулиране на cachemgr.cgi, HTTP Digest удостоверяване или HTTP Basic удостоверяване. Оставащата уязвимост позволява междусайтови скриптове чрез cachemgr.cgi.

Източник: opennet.ru