ഗുരുതരമായ കേടുപാടുകൾ പരിഹരിച്ച സ്‌ക്വിഡ് 4.8 പ്രോക്‌സി പുറത്തിറക്കി

പ്രസിദ്ധീകരിച്ചു തിരുത്തൽ പ്രോക്സി റിലീസ് കണവ 4.8, ഇത് 5 കേടുപാടുകൾ പരിഹരിച്ചു. ഒരു ദുർബലത (CVE-2019-12527) ഇത് അനുവദിക്കുന്നു സെർവർ പ്രക്രിയയുടെ അവകാശങ്ങൾ ഉപയോഗിച്ച് കോഡ് നിർവ്വഹണം സംഘടിപ്പിക്കാൻ സാധ്യതയുണ്ട്.

HTTP ബേസിക് ഓതന്റിക്കേഷൻ ഹാൻഡ്‌ലറിലെ ഒരു ബഗ് മൂലമാണ് ഈ പ്രശ്‌നം ഉണ്ടാകുന്നത്, കൂടാതെ സ്‌ക്വിഡ് കാഷെ ആക്‌സസ് ചെയ്യുമ്പോൾ പ്രത്യേകം തയ്യാറാക്കിയ ക്രെഡൻഷ്യലുകൾ കൈമാറുമ്പോൾ ഒരു ബഫർ ഓവർഫ്ലോ പ്രവർത്തനക്ഷമമാക്കാൻ അനുവദിക്കുന്നു.
മാനേജർ അല്ലെങ്കിൽ ബിൽറ്റ്-ഇൻ FTP ഗേറ്റ്‌വേ. സ്‌ക്വിഡ് 4.0.23-ന്റെ റിലീസ് മുതൽ അപകടസാധ്യത ദൃശ്യമാകുന്നു. അപകടസാധ്യത തടയുന്നതിനുള്ള ഒരു പരിഹാരമെന്ന നിലയിൽ, "--disable-auth-basic" ഓപ്ഷൻ ഉപയോഗിച്ച് നിങ്ങൾക്ക് സ്ക്വിഡ് പുനർനിർമ്മിക്കാം അല്ലെങ്കിൽ കോൺഫിഗറേഷനിൽ HTTP പ്രാമാണീകരണം ഉപയോഗിക്കുന്ന സേവനങ്ങളിലേക്കുള്ള ആക്സസ് അപ്രാപ്തമാക്കാം:

acl FTP പ്രോട്ടോ FTP
http_access FTP നിരസിക്കുന്നു
http_access deny manager

മറ്റ് മൂന്ന് കേടുപാടുകൾ cachemgr.cgi, HTTP ഡൈജസ്റ്റ് അല്ലെങ്കിൽ HTTP അടിസ്ഥാന പ്രാമാണീകരണം എന്നിവ കൈകാര്യം ചെയ്യുമ്പോൾ സേവനം നിഷേധിക്കുന്നതിലേക്ക് നയിച്ചേക്കാം. ശേഷിക്കുന്ന കേടുപാടുകൾ cachemgr.cgi വഴി ക്രോസ്-സൈറ്റ് സ്ക്രിപ്റ്റിംഗ് അനുവദിക്കുന്നു.

അവലംബം: opennet.ru