स्क्विड प्रॉक्सी सर्वर में भेद्यता जो आपको पहुंच प्रतिबंधों को बायपास करने की अनुमति देती है

खुलासा प्रॉक्सी सर्वर में कमजोरियों के बारे में जानकारी स्क्वीड, जिन्हें पिछले साल स्क्विड 4.8 की रिलीज़ में चुपचाप हटा दिया गया था। समस्याएं यूआरएल की शुरुआत में "@" ब्लॉक ("उपयोगकर्ता @ होस्ट") को संसाधित करने के लिए कोड में मौजूद हैं और आपको एक्सेस प्रतिबंध नियमों को बायपास करने, कैश की सामग्री को जहर देने और एक क्रॉस-साइट करने की अनुमति देती हैं। स्क्रिप्टिंग हमला.

• CVE-2019-12524 - एक ग्राहक, विशेष रूप से डिज़ाइन किए गए यूआरएल का उपयोग करके, url_regex निर्देश का उपयोग करके निर्दिष्ट नियमों को बायपास कर सकता है और प्रॉक्सी और संसाधित ट्रैफ़िक के बारे में गोपनीय जानकारी प्राप्त कर सकता है (कैश मैनेजर इंटरफ़ेस तक पहुंच प्राप्त कर सकता है)।
• CVE-2019-12520 - यूआरएल में उपयोगकर्ता नाम डेटा में हेरफेर करके, आप कैश में एक विशिष्ट पृष्ठ के लिए काल्पनिक सामग्री का भंडारण प्राप्त कर सकते हैं, जिसका उपयोग, उदाहरण के लिए, अन्य साइटों के संदर्भ में आपके जावास्क्रिप्ट कोड के निष्पादन को व्यवस्थित करने के लिए किया जा सकता है।

स्रोत: opennet.ru