{"id":110781,"date":"2023-10-12T15:10:52","date_gmt":"2023-10-12T13:10:52","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-proksi-servere-squid-vyyavleno-55-uyazvimostej-35-iz-kotoryh-poka-ne-ispravleny"},"modified":"2023-10-12T15:10:52","modified_gmt":"2023-10-12T13:10:52","slug":"v-proksi-servere-squid-vyyavleno-55-uyazvimostej-35-iz-kotoryh-poka-ne-ispravleny","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/v-proksi-servere-squid-vyyavleno-55-uyazvimostej-35-iz-kotoryh-poka-ne-ispravleny","title":{"rendered":"Im Proxy-Server Squid wurden 55 Sicherheitsanf\u00e4lligkeiten festgestellt, von denen 35 noch nicht behoben sind.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ergebnisse eines unabh\u00e4ngigen Sicherheitsaudits des offenen Cache-Proxy-Servers Squid, das im Jahr 2021 durchgef\u00fchrt wurde, wurden ver\u00f6ffentlicht. W\u00e4hrend der \u00dcberpr\u00fcfung des Code-Basisprojekts wurden 55 Sicherheitsanf\u00e4lligkeiten festgestellt, von denen derzeit 35 Probleme noch nicht von den Entwicklern behoben wurden (0-Day). Die Entwickler von Squid wurden bereits vor zweieinhalb Jahren \u00fcber die Probleme informiert, haben aber die Arbeit an deren Behebung nicht abgeschlossen. Letztendlich entschied der Auditor, die Informationen zu ver\u00f6ffentlichen, ohne auf die Behebung aller Probleme zu warten, und informierte die Entwickler von Squid vorab dar\u00fcber. <\/p>\n
Unter den festgestellten Sicherheitsanf\u00e4lligkeiten: <\/p>\n
\n
Stack\u00fcberlauf in der Implementierung der Hash-Authentifizierung (Digest Authentication), der bei der Verarbeitung des HTTP-Header-Feldes Proxy-Authorization mit einem zu gro\u00dfen Wert des Feldes \u201eDigest nc\u201c auftritt.\n
Zugriff auf Speicher nach dessen Freigabe im Anforderungsbehandler mit der Methode TRACE.\n
Zugriff auf Speicher nach Freigabe bei der Verarbeitung von HTTP-Anfragen mit dem Header \u201eRange\u201c (CVE-2021-31807).\n
Stack-\u00dcberlauf bei der Verarbeitung des HTTP-Headers X-Forwarded-For.\n
Stack-\u00dcberlauf bei der Verarbeitung von chunked-Anfragen.\n
Zugriff auf Speicher nach dessen Freigabe im Web-Interface CacheManager.\n
Ganzzahlen\u00fcberlauf im Anforderungsbehandler des HTTP-Headers Range (CVE-2021-31808).\n
Zugriff auf Speicher nach dessen Freigabe und Puffer\u00fcberlauf im ESI-Ausdrucksbehandler (Edge Side Includes).\n
Zahlreiche Speicherlecks, Puffer\u00fcberl\u00e4ufe beim Lesen und Probleme, die zu einem Absturz f\u00fchren. <\/ul>\n