Paglabas ng Squid 4.8 proxy server na may pag-aalis ng isang kritikal na kahinaan

Nai-publish corrective proxy release Pusit 4.8, na nag-ayos ng 5 kahinaan. Isang kahinaan (CVE-2019-12527) ay nagbibigay-daan sa potensyal na ayusin ang pagpapatupad ng code na may mga karapatan ng proseso ng server.

Ang isyu ay sanhi ng isang bug sa HTTP Basic authentication handler at nagbibigay-daan sa isang buffer overflow na ma-trigger kapag nagpapasa ng mga espesyal na ginawang kredensyal kapag ina-access ang Squid Cache
Manager o built-in na FTP gateway. Lumilitaw ang kahinaan simula sa paglabas ng Squid 4.0.23. Bilang solusyon para sa pagharang sa kahinaan, maaari mong buuin muli ang squid gamit ang opsyong “--disable-auth-basic” o i-disable ang access sa mga serbisyong gumagamit ng HTTP authentication sa configuration:

acl FTP proto FTP
http_access tanggihan ang FTP
http_access deny manager

Ang iba pang tatlong kahinaan ay maaaring humantong sa pagtanggi sa serbisyo kapag minamanipula ang cachemgr.cgi, HTTP Digest o HTTP Basic na pagpapatotoo. Ang natitirang kahinaan ay nagbibigay-daan sa cross-site scripting sa pamamagitan ng cachemgr.cgi.

Pinagmulan: opennet.ru