Squid 4.8 proxy zerbitzaria kaleratzea ahultasun kritiko bat ezabatuz

argitaratua proxy oharra zuzentzailea Txipiroiak 4.8, 5 ahultasun konpondu zituena. Ahultasun bat (CVE-2019-12527) aukera ematen du potentzialki antolatzea kodearen exekuzioa zerbitzariaren prozesuaren eskubideekin.

Arazoa HTTP Basic autentifikazio-kudeatzailearen akats batek sortu du eta Squid Cache-ra sartzean bereziki landutako kredentzialak pasatzen direnean buffer gainezka egitea ahalbidetzen du.
Kudeatzailea edo FTP atebide integratua. Ahultasuna Squid 4.0.23 kaleratzean hasita agertzen da. Ahultasuna blokeatzeko konponbide gisa, txibia berreraiki dezakezu "--disable-auth-basic" aukerarekin edo konfigurazioan HTTP autentifikazioa erabiltzen duten zerbitzuetarako sarbidea desgaitu:

acl FTP proto FTP
http_access ukatu FTP
http_access ukatzeko kudeatzailea

Beste hiru ahultasunek zerbitzua ukatzea ekar dezakete cachemgr.cgi, HTTP Digest edo HTTP Basic autentifikazioa manipulatzean. Gainerako ahultasunak guneen arteko script-ak egiteko aukera ematen du cachemgr.cgi bidez.

Iturria: opennet.ru