Shkëputja e serverit proxy Squid 4.8 me përjashtimin e një dobësie kritike

Publikuar lëshimi korigjues i serverit proxy Squid 4.8, në të cilin janë eliminuar 5 vulnerabilitete. Një vulnerabilitet (CVE-2019-12527) mundëson mundësisht organizon ekzekutimin e kodit me privilegjet e procesit server.

Problemi shkaktohet nga një gabim në trajtuesin e autentikimit HTTP Basic dhe lejon që të nisë një mbingarkesë të bufrit gjatë përcjelljes së kredencialeve të veçuara kur i qaseni Squid Cache
Menaxherit ose portalit të integruar FTP. Vulnerabiliteti shfaqet duke filluar nga lirimi Squid 4.0.23. Si një zgjidhje për të bllokuar vulnerabilitetin, mund të rindizni squid me opsionin «—disable-auth-basic» ose të ndaloni në konfigurim qasjen në shërbimet që përdorin autentikimin HTTP:

acl FTP proto FTP
http_access deny FTP
http_access deny manager

Tre vulnerabilitete të tjera mund të çojnë në mungesë shërbimi gjatë manipulimeve me cachemgr.cgi, autentikimin HTTP Digest ose HTTP Basic. Vulnerabiliteti i mbetur lejon organizimin e skenarëve të kryqëzuar përmes cachemgr.cgi.

Burimi: opennet.ru