A Squid proxyszerver biztonsági rése, amely lehetővé teszi a hozzáférési korlátozások megkerülését

Kiderült információk a proxyszerver sebezhetőségeiről Tintahal, amelyeket tavaly csendben kiiktattak a Squid 4.8 kiadásában. A problémák az URL elején található „@” blokk feldolgozására szolgáló kódban vannak („user@host”), és lehetővé teszik a hozzáférés-korlátozási szabályok megkerülését, a gyorsítótár tartalmának mérgezését és a webhelyek közötti keresztezést. scripting támadás.

• CVE-2019 12524- — a kliens egy speciálisan kialakított URL használatával megkerülheti az url_regex direktívával meghatározott szabályokat, és bizalmas információkat szerezhet a proxyról és a feldolgozott forgalomról (hozzáférhet a Cache Manager felülethez).
• CVE-2019 12520- - az URL-ben található felhasználónév-adatok manipulálásával elérheti, hogy egy adott oldal fiktív tartalmait tárolja a gyorsítótárban, amely például felhasználható a JavaScript-kód végrehajtásának megszervezésére más webhelyek kontextusában.

Forrás: opennet.ru