Sortie du serveur proxy Squid 4.8 avec élimination d'une vulnérabilité critique

Publié version corrective du proxy Calmar 4.8, qui a corrigé 5 vulnérabilités. Une vulnérabilité (CVE-2019-12527) il permet organiser potentiellement l'exécution de code avec les droits du processus serveur.

Le problème est dû à un bug dans le gestionnaire d'authentification HTTP Basic et permet de déclencher un débordement de tampon lors de la transmission d'informations d'identification spécialement conçues lors de l'accès à Squid Cache.
Gestionnaire ou passerelle FTP intégrée. La vulnérabilité apparaît à partir de la sortie de Squid 4.0.23. Pour contourner la vulnérabilité, vous pouvez reconstruire squid avec l'option « --disable-auth-basic » ou désactiver l'accès aux services qui utilisent l'authentification HTTP dans la configuration :

acl FTP proto FTP
http_access refuser FTP
Gestionnaire de refus http_access

Les trois autres vulnérabilités peuvent conduire à un déni de service lors de la manipulation de l'authentification cachemgr.cgi, HTTP Digest ou HTTP Basic. La vulnérabilité restante permet les scripts intersites via cachemgr.cgi.

Source: opennet.ru