Release des Proxy-Servers Squid 4.8 mit Behebung einer kritischen Sicherheitsanfälligkeit

Veröffentlicht Korrektur-Release des Proxys Squid 4.8, in dem 5 Schwachstellen behoben wurden. Eine Schwachstelle (CVE-2019-12527) ermöglicht es ermöglicht potenziell die Ausführung von Code mit den Rechten des Serverprozesses.

Das Problem wird durch einen Fehler im HTTP Basic-Authentifizierungs-Handler verursacht und ermöglicht ein Buffer Overflow, wenn speziell gestaltete Anmeldedaten an den Squid Cache übermittelt werden.
Manager oder den eingebauten FTP-Gateway. Die Schwachstelle tritt ab der Version Squid 4.0.23 auf. Als Workaround zur Blockierung der Schwachstelle kann Squid mit der Option „—disable-auth-basic“ neu kompiliert oder in der Konfiguration der Zugriff auf Dienste mit HTTP-Authentifizierung verboten werden:

acl FTP proto FTP
http_access deny FTP
http_access deny manager

Die anderen drei Schwachstellen können zu einem Denial of Service beim Umgang mit cachemgr.cgi, sowie bei der HTTP Digest- oder HTTP Basic-Authentifizierung führen. Die verbleibende Schwachstelle ermöglicht Cross-Site-Scripting über cachemgr.cgi.

Quelle: opennet.ru

Kaufen Sie zuverlässiges Hosting für Websites mit DDoS-Schutz, VPS VDS-Server 🔥 Kaufen Sie zuverlässiges Hosting für Websites mit DDoS-Schutz, VPS VDS-Server | ProHoster