დაუცველობა Squid proxy სერვერზე, რომელიც საშუალებას გაძლევთ გვერდის ავლით წვდომის შეზღუდვები

გამოავლინა ინფორმაცია პროქსი სერვერის დაუცველობის შესახებ Squid, რომლებიც ჩუმად აღმოიფხვრა გასულ წელს Squid 4.8-ის გამოშვებისას. პრობლემები მოცემულია "@" ბლოკის დამუშავების კოდში URL-ის დასაწყისში ("user@host") და საშუალებას გაძლევთ გვერდის ავლით წვდომის შეზღუდვის წესები, მოწამლოთ ქეშის შინაარსი და განახორციელოთ ჯვარედინი საიტი. სკრიპტის შეტევა.

• CVE-2019-12524 — კლიენტს, სპეციალურად შემუშავებული URL-ის გამოყენებით, შეუძლია გვერდი აუაროს url_regex დირექტივის გამოყენებით მითითებულ წესებს და მოიპოვოს კონფიდენციალური ინფორმაცია პროქსისა და დამუშავებული ტრაფიკის შესახებ (მიიღოს წვდომა ქეში მენეჯერის ინტერფეისზე).
• CVE-2019-12520 — URL-ში მომხმარებლის სახელის მონაცემების მანიპულირებით, შეგიძლიათ მიაღწიოთ ფიქტიური შინაარსის შენახვას ქეშში კონკრეტული გვერდისთვის, რომელიც, მაგალითად, შეიძლება გამოყენებულ იქნას თქვენი JavaScript კოდის შესრულების ორგანიზებისთვის სხვა საიტების კონტექსტში.

წყარო: opennet.ru