Lëshimi i serverit proxy Squid 4.8 me eliminimin e një vulnerabiliteti kritik

Publikuar versioni korrigjuese të proxy serverit Squid 4.8, në të cilin janë eliminuar 5 vulnerabilitete. Një vulnerabilitet (CVE-2019-12527) lejon mund të organizojë ekzekutimin e kodit me të drejtat e procesit server.

Problemi shkaktohet nga një gabim në trajtimin e autentifikimit HTTP Basic dhe lejon iniciimin e një mbushjeje buferi gjatë kalimit të kredencialeve të veçanta kur i drejtohen Squid Cache
Menaxherit ose portalit të integruar FTP. Vulnerabiliteti shfaqet duke filluar nga versioni Squid 4.0.23. Si një hushtër, për të bllokuar vulnerabilitetin, mund të rikonfiguroni squid me opsionin "—disable-auth-basic" ose të ndaloni në konfigurim aksesin në shërbimet që përdorin autentifikimin HTTP:

acl FTP proto FTP
http_access deny FTP
http_access deny manager

Tre vulnerabilitete të tjera mund të çojnë në refuzim të shërbimit gjatë manipulimeve me cachemgr.cgi, autentifikimin HTTP Digest ose HTTP Basic. Vulnerabiliteti i mbetur lejon organizimin e skriptimit ndërfaqësor përmes cachemgr.cgi.

Burimi: opennet.ru