Haavatavus Squidi edastamise serveris, mis võimaldab pääseda üle piirangutest.

Ava teave puhverserveri haavatavustest Squid, mis kõrvaldate viimastel kui muremurdmata piiriüleselt juba mullu Squid 4.8 väljaandes. Probleemid esinesid „@” ploki töötlemise koodis URL-i alguses („user@host”) ja võimaldavad pääseda mööda juurdepääsu piirangutest, saata vahemälu sisu ning teha veebisirvijate skriptide rünnakut.

• CVE-2019-12524 — klient saab spetsiaalselt kujundatud URL-i abil mööda minna url_regex direktiivi seatud reeglitest ja saada konfidentsiaalseid andmeid puhverserveri ja töödeldud liikluse kohta (ligipääs vahemälu juhtimisliidesele).
• CVE-2019-12520 — manipuleerides URL-is kasutajanime andmetega, on võimalik saavutada vale sisu salvestamine vahemällu teatud lehe jaoks, mis võib näiteks võimaldada oma JavaScript-koodi käivitamist teiste saitide kontekstis.

Allikas: opennet.ru