Proksi Sotong 4.8 Dikeluarkan dengan Kerentanan Kritikal Diperbaiki

diterbitkan keluaran proksi pembetulan Sotong 4.8, yang membetulkan 5 kelemahan. Satu kerentanan (CVE-2019-12527) membolehkan berpotensi mengatur pelaksanaan kod dengan hak proses pelayan.

Isu ini disebabkan oleh pepijat dalam pengendali pengesahan Asas HTTP dan membenarkan limpahan penimbal dicetuskan apabila menghantar bukti kelayakan yang dibuat khas apabila mengakses Cache Squid
Pengurus atau get laluan FTP terbina dalam. Kerentanan muncul bermula dengan keluaran Squid 4.0.23. Sebagai penyelesaian untuk menyekat kelemahan, anda boleh membina semula sotong dengan pilihan "--disable-auth-basic" atau melumpuhkan akses kepada perkhidmatan yang menggunakan pengesahan HTTP dalam konfigurasi:

acl FTP proto FTP
http_access tolak FTP
http_access menafikan pengurus

Tiga kelemahan lain boleh menyebabkan penafian perkhidmatan apabila memanipulasi cachemgr.cgi, HTTP Digest atau pengesahan Asas HTTP. Kerentanan selebihnya membenarkan skrip merentas tapak melalui cachemgr.cgi.

Sumber: opennet.ru