{"id":110781,"date":"2023-10-12T15:10:52","date_gmt":"2023-10-12T13:10:52","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-proksi-servere-squid-vyyavleno-55-uyazvimostej-35-iz-kotoryh-poka-ne-ispravleny"},"modified":"2023-10-12T15:10:52","modified_gmt":"2023-10-12T13:10:52","slug":"v-proksi-servere-squid-vyyavleno-55-uyazvimostej-35-iz-kotoryh-poka-ne-ispravleny","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-proksi-servere-squid-vyyavleno-55-uyazvimostej-35-iz-kotoryh-poka-ne-ispravleny","title":{"rendered":"Im Proxy-Server Squid wurden 55 Sicherheitsanf\u00e4lligkeiten gefunden, von denen 35 noch nicht behoben wurden","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ergebnisse der unabh\u00e4ngigen Sicherheits\u00fcberpr\u00fcfung des offenen Caching-Proxy-Servers Squid, die 2021 durchgef\u00fchrt wurde, wurden ver\u00f6ffentlicht. W\u00e4hrend der Pr\u00fcfung des Projektcodes wurden 55 Schwachstellen festgestellt, von denen derzeit 35 noch nicht von den Entwicklern behoben wurden (0-Day). Die Entwickler von Squid wurden bereits vor zweieinhalb Jahren \u00fcber die Probleme informiert, haben jedoch die Behebung bis heute nicht abgeschlossen. Letztendlich entschloss sich der Autor des Audits, die Informationen preiszugeben, ohne auf die Behebung aller Probleme zu warten, und informierte die Entwickler von Squid im Voraus. <\/p>\n
Unter den festgestellten Sicherheitsanf\u00e4lligkeiten: <\/p>\n
\n
Stack\u00fcberlauf in der Implementierung von Hash-Authentifizierung (Digest Authentication), der bei der Verarbeitung des HTTP-Headers Proxy-Authorization mit einem zu gro\u00dfen Wert im Feld \u201eDigest nc\u201c auftritt.\n
Zugriff auf Speicher nach dessen Freigabe im Request-Handler f\u00fcr die TRACE-Methode.\n
Zugriff auf Speicher nach dessen Freigabe bei der Verarbeitung von HTTP-Anfragen mit dem Header \u201eRange\u201c (CVE-2021-31807).\n
Stack\u00fcberlauf bei der Verarbeitung des HTTP-Headers X-Forwarded-For.\n
Stack\u00fcberlauf bei der Verarbeitung von Chunked-Anfragen.\n
Zugriff auf Speicher nach dessen Freigabe im Web-Interface von CacheManager.\n
Ganzzahl\u00fcberlauf im HTTP-Header-Range-Handler (CVE-2021-31808).\n
Zugriff auf Speicher nach seiner Freigabe und Puffer\u00fcberlauf im ESI (Edge Side Includes) Ausdr\u00fccks-Handler.\n
Zahlreiche Speicherlecks, Buffer Overflows beim Lesen und Probleme, die zu einem Absturz f\u00fchren. <\/ul>\n