Ngaleupaskeun server proxy Squid 4.8 kalayan ngaleungitkeun kerentanan kritis

diterbitkeun release proxy corrective Cumi-cumi 4.8, nu dibereskeun 5 vulnerabilities. Hiji kerentanan (CVE-2019-12527) Hal ieu ngamungkinkeun berpotensi ngatur palaksanaan kode kalawan hak prosés server.

Masalahna disababkeun ku bug dina panangan auténtikasi Dasar HTTP sareng ngamungkinkeun buffer overflow dipicu nalika ngalangkungan kredensial anu didamel khusus nalika ngaksés Squid Cache
Manajer atanapi diwangun-di gateway FTP. Kerentanan muncul dimimitian ku sékrési Squid 4.0.23. Salaku workaround pikeun meungpeuk kerentanan, anjeun tiasa ngawangun deui cumi-cumi nganggo pilihan "--disable-auth-basic" atanapi mareuman aksés kana jasa anu nganggo auténtikasi HTTP dina konfigurasi:

acl FTP proto FTP
http_access mungkir FTP
http_access mungkir manajer

Tilu kerentanan sanésna tiasa nyababkeun panolakan jasa nalika ngamanipulasi cachemgr.cgi, HTTP Digest atanapi auténtikasi Dasar HTTP. Kerentanan sésana ngamungkinkeun scripting cross-situs via cachemgr.cgi.

sumber: opennet.ru