एक गंभीर भेद्यता के उन्मूलन के साथ स्क्विड 4.8 प्रॉक्सी सर्वर की रिलीज़

प्रकाशित सुधारात्मक प्रॉक्सी रिलीज़ व्यंग्य ९, जिसने 5 कमजोरियों को ठीक किया। एक भेद्यता (CVE-2019-12527) यह अनुमति देता है संभावित रूप से सर्वर प्रक्रिया के अधिकारों के साथ कोड निष्पादन को व्यवस्थित करें।

समस्या HTTP बेसिक प्रमाणीकरण हैंडलर में एक बग के कारण होती है और स्क्विड कैश तक पहुंचने पर विशेष रूप से तैयार किए गए क्रेडेंशियल्स को पास करते समय बफर ओवरफ्लो को ट्रिगर करने की अनुमति मिलती है।
प्रबंधक या अंतर्निर्मित एफ़टीपी गेटवे। भेद्यता स्क्विड 4.0.23 की रिलीज़ के साथ शुरू होती हुई दिखाई देती है। भेद्यता को अवरुद्ध करने के समाधान के रूप में, आप "--disable-auth-basic" विकल्प के साथ स्क्विड का पुनर्निर्माण कर सकते हैं या कॉन्फ़िगरेशन में HTTP प्रमाणीकरण का उपयोग करने वाली सेवाओं तक पहुंच अक्षम कर सकते हैं:

एसीएल एफ़टीपी प्रोटो एफ़टीपी
http_access एफ़टीपी को अस्वीकार करता है
http_access अस्वीकृत प्रबंधक

अन्य तीन कमजोरियाँ कैशएमजीआर.सीजीआई, HTTP डाइजेस्ट या HTTP बेसिक प्रमाणीकरण में हेरफेर करते समय सेवा से इनकार कर सकती हैं। शेष भेद्यता कैशएमजीआर.सीजीआई के माध्यम से क्रॉस-साइट स्क्रिप्टिंग की अनुमति देती है।

स्रोत: opennet.ru