एक महत्वपूर्ण जोखिम को उन्मूलन संग Squid 4.8 प्रोक्सी सर्भर को रिलीज

प्रकाशित सुधारात्मक प्रोक्सी रिलीज स्क्विड ५.१, जसले 5 कमजोरीहरू फिक्स गर्यो। एउटा जोखिम (CVE-2019-12527) यसलाई अनुमति दिन्छ सम्भावित रूपमा सर्भर प्रक्रियाको अधिकारहरूसँग कोड कार्यान्वयन व्यवस्थित गर्नुहोस्।

समस्या HTTP आधारभूत प्रमाणीकरण ह्यान्डलरमा बगको कारणले भएको हो र Squid क्यास पहुँच गर्दा विशेष रूपमा क्राफ्ट गरिएका प्रमाणहरू पास गर्दा बफर ओभरफ्लो ट्रिगर हुन अनुमति दिन्छ।
प्रबन्धक वा निर्मित FTP गेटवे। जोखिम Squid 4.0.23 को रिलीज संग सुरु हुन्छ। भेद्यतालाई रोक्नको लागि समाधानको रूपमा, तपाइँ "--disable-auth-basic" विकल्पको साथ स्क्विड पुन: निर्माण गर्न सक्नुहुन्छ वा कन्फिगरेसनमा HTTP प्रमाणीकरण प्रयोग गर्ने सेवाहरूमा पहुँच असक्षम गर्न सक्नुहुन्छ:

acl FTP प्रोटो FTP
http_access FTP अस्वीकार गर्नुहोस्
http_access अस्वीकार प्रबन्धक

अन्य तीन कमजोरीहरूले cachemgr.cgi, HTTP डाइजेस्ट वा HTTP आधारभूत प्रमाणीकरणलाई हेरफेर गर्दा सेवा अस्वीकार गर्न सक्छ। बाँकी भेद्यताले cachemgr.cgi मार्फत क्रस-साइट स्क्रिप्टिङलाई अनुमति दिन्छ।

स्रोत: opennet.ru