Objavljen proxy poslužitelj Squid 4.8 s ispravkom kritične ranjivosti

Objavljeno ispravak izdanja proxy poslužitelja Squid 4.8, u kojem je ispravljeno 5 ranjivosti. Jedna ranjivost (CVE-2019-12527) omogućava može potencijalno omogućiti izvršenje koda s pravima poslužiteljskog procesa.

Problem je uzrokovan greškom u obradi HTTP Basic autentifikacije i omogućuje iniciranje prelivanja bafera prilikom slanja posebno oblikovanih vjerodajnica pri pristupu Squid Cache.
Manager ili ugrađenom FTP poslužitelju. Ranjivost se pojavljuje od izdanja Squid 4.0.23. Kao zaobilazno rješenje za blokiranje ranjivosti, može se ponovno sastaviti squid s opcijom "—disable-auth-basic" ili onemogućiti u konfiguraciji pristup uslugama koje koriste HTTP autentifikaciju:

acl FTP proto FTP
http_access deny FTP
http_access deny manager

Preostale tri ranjivosti mogu dovesti do uskraćivanja usluge pri manipulacijama s cachemgr.cgi, HTTP Digest ili HTTP Basic autentifikacijom. Preostala ranjivost omogućuje organiziranje međusajtonskog skriptiranja preko cachemgr.cgi.

Izvor: opennet.ru