Vydání proxy serveru Squid 4.8 s odstraněním kritické zranitelnosti.

Byl zveřejněn opravný vydání proxy serveru Squid 4.8, který opravuje 5 zranitelností. Jedna zranitelnost (CVE-2019-12527) umožňuje potenciálně umožňuje vykonání kódu s oprávněními serverového procesu.

Problém je způsoben chybou v obsluze autentizace HTTP Basic a umožňuje iniciovat přetečení zásobníku při přenosu speciálně formátovaných přihlašovacích údajů při přístupu k Squid Cache
Manager nebo integrovanému FTP bráně. Zranitelnost se projevuje od vydání Squid 4.0.23. Jako workaround pro blokování zranitelnosti lze překompilovat squid s volbou "—disable-auth-basic" nebo zakázat v konfiguraci přístup k službám využívajícím HTTP autentizaci:

acl FTP proto FTP
http_access deny FTP
http_access deny manager

Další tři zranitelnosti mohou vést k odmítnutí služby při manipulacích s cachemgr.cgi, HTTP Digest nebo HTTP Basic autentizací. Zbývající zranitelnost umožňuje organizovat meziwebové skriptování přes cachemgr.cgi.

Zdroj: opennet.ru