Squid 4.8 Proxy wydany z naprawioną krytyczną luką

opublikowany naprawcze wydanie proxy Kałamarnica 4.8, który naprawił 5 luk. Jedna luka w zabezpieczeniach (CVE-2019-12527) pozwala on potencjalnie organizować wykonanie kodu z uprawnieniami procesu serwera.

Problem jest spowodowany błędem w obsłudze uwierzytelniania HTTP Basic i umożliwia wywołanie przepełnienia bufora podczas przekazywania specjalnie spreparowanych poświadczeń podczas uzyskiwania dostępu do pamięci podręcznej Squid
Menedżer lub wbudowana bramka FTP. Luka pojawia się wraz z wydaniem wersji Squid 4.0.23. Aby obejść blokadę luki, możesz przebudować squid z opcją „--disable-auth-basic” lub wyłączyć w konfiguracji dostęp do usług korzystających z uwierzytelniania HTTP:

acl FTP na FTP
http_access odmawia FTP
http_menedżer odmowy dostępu

Pozostałe trzy luki mogą prowadzić do odmowy usługi podczas manipulowania uwierzytelnianiem cachemgr.cgi, HTTP Digest lub HTTP Basic. Pozostała luka umożliwia wykonywanie skryptów między witrynami za pośrednictwem pliku cachemgr.cgi.

Źródło: opennet.ru