Kutolewa kwa seva ya proksi ya Squid 4.8 na kuondoa athari kubwa

iliyochapishwa marekebisho ya kutolewa kwa wakala Ngisi 4.8, ambayo ilirekebisha udhaifu 5. Athari moja (CVE-2019-12527) inaruhusu uwezekano wa kupanga utekelezaji wa nambari na haki za mchakato wa seva.

Tatizo linasababishwa na hitilafu katika kidhibiti cha Msingi cha HTTP na huruhusu kufurika kwa bafa kuanzishwa wakati wa kupitisha kitambulisho kilichoundwa mahususi wakati wa kufikia Akiba ya Squid.
Meneja au lango la FTP lililojengwa ndani. Athari inaonekana kuanzia na kutolewa kwa Squid 4.0.23. Kama suluhu ya kuzuia uwezekano wa kuathiriwa, unaweza kujenga ngisi tena kwa chaguo la "--disable-auth-basic" au kuzima ufikiaji wa huduma zinazotumia uthibitishaji wa HTTP katika usanidi:

acl FTP mfano FTP
http_access kukataa FTP
http_access kataa meneja

Athari zingine tatu zinaweza kusababisha kunyimwa huduma wakati wa kudhibiti cachemgr.cgi, HTTP Digest au uthibitishaji wa Msingi wa HTTP. Athari iliyosalia inaruhusu uandishi wa tovuti mbalimbali kupitia cachemgr.cgi.

Chanzo: opennet.ru