Verëffentlechung vum Squid 4.8 Proxy Server mat der Eliminatioun vun enger kritescher Schwachstelle

publizéiert korrektiv Proxy Verëffentlechung Squid 4.8, déi 5 Schwachstelle fixéiert hunn. Eng Schwachstelle (CVE-2019-12527) et erlaabt potenziell Code Ausféierung mat de Rechter vum Serverprozess organiséieren.

D'Thema gëtt duerch e Bug am HTTP Basic Authentifikatiounshandler verursaacht an erlaabt e Pufferiwwerfluss ausgeléist ze ginn wann Dir speziell erstallt Umeldungsinformatiounen passéiert beim Zougang zu Squid Cache
Manager oder agebaute FTP Paart. D'Schwachheet erschéngt mat der Verëffentlechung vum Squid 4.0.23. Als Léisung fir d'Schwachheet ze blockéieren, kënnt Dir Squid mat der "--disable-auth-basic" Optioun opbauen oder den Zougang zu Servicer auszeschalten déi HTTP Authentifikatioun an der Konfiguratioun benotzen:

acl FTP proto FTP
http_access refuséieren FTP
http_access verweigeren Manager

Déi aner dräi Schwachstelle kënnen zur Verweigerung vum Service féieren wann Dir cachemgr.cgi, HTTP Digest oder HTTP Basic Authentifikatioun manipuléiert. Déi reschtlech Schwachstelle erlaabt Cross-Site Scripting iwwer cachemgr.cgi.

Source: opennet.ru