Squid 4.8 puhverserver vabastati ja kriitiline haavatavus on parandatud

avaldatud korrigeeriv puhverserveri vabastamine Kalmaar 4.8, mis parandas 5 turvaauku. Üks haavatavus (CVE-2019-12527) võimaldab potentsiaalselt korraldada koodi täitmist serveriprotsessi õigustega.

Probleemi põhjustab HTTP Basicu autentimistöötleja viga ja see võimaldab Squid Cache'i juurdepääsul spetsiaalselt loodud mandaatide edastamisel käivitada puhvri ülevoolu
Haldur või sisseehitatud FTP lüüs. Haavatavus ilmneb alates Squid 4.0.23 väljalaskmisest. Haavatavuse blokeerimise lahendusena saate squidi uuesti üles ehitada suvandiga „--disable-auth-basic” või keelata juurdepääsu teenustele, mis kasutavad konfiguratsioonis HTTP autentimist.

acl FTP proto FTP
http_juurdepääsu keelamine FTP
http_juurdepääsu keelamine haldur

Ülejäänud kolm haavatavust võivad põhjustada teenuse keelamise, kui manipuleeritakse failiga cachemgr.cgi, HTTP Digest või HTTP Basic autentimisega. Ülejäänud haavatavus võimaldab saidiülest skriptimist saidi cachemgr.cgi kaudu.

Allikas: opennet.ru