Squid缓冲区溢露马脚安全公告

颁布功夫 2019-11-07

缝隙编号和级别


CVE编号：CVE-2019-12526，，，，，，危险级别：高危，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2019-18678，，，，，，危险级别：中危，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2019-18679，，，，，，危险级别：中危，，，，，，CVSS分值：官方未评定


影响版本


Squid 3.x至3.5.28(蕴含3.5.28)

所有Squid-4.x至4.8版本(蕴含4.8)


缝隙概述


Squid是一套代理服务器和Web缓存服务器软件。。。。。。。该软件提供缓存万维网、过滤流量、代理上网等职能。。。。。。。


Squid官方颁布安全更新建复了多个缝隙，，，，，，其中CVE-2019-12526为缓冲区溢出高危缝隙，，，，，，可能导致远程代码执行，，，，，，概述如下：


CVE-2019-12526


由于不正确的缓冲区治理，，，，，，远程攻击者能够通过向指标服务器发送精心设计的HTTP要求来利用此缝隙。。。。。。。成功利用将导致攻击者可能使用服务器过程的权限执行肆意代码，，，，，，而不成功的攻击将导致服务器过程异常终止。。。。。。。


CVE-2019-18678


在新闻解析时，，，，，，由于谬误的新闻解析，，，，，，Squid容易出现HTTP要求拆分问题。。。。。。。


CVE-2019-18679


由于谬误的数据治理，，，，，，Squid在处置HTTP提要认证时引发信息泄露。。。。。。。


缝隙验证


暂无POC/EXP。。。。。。。


建复建议


升级到Squid 4.9：http://www.squid-cache.org/Versions/v4/。。。。。。。


各缝隙一时缓解措施如下：


CVE-2019-12526


回绝 urn: 和谈的 URI 被代理给所有客户端：

acl URN proto URN

http_access deny URN


CVE-2019-18679


1.在squid.conf配置文件中移除掉'auth_param digest ...'

2.构建Squid时加上参数 --disable-auth-basic


参考链接


http://www.squid-cache.org/Advisories/SQUID-2019_11.txt

http://www.squid-cache.org/Advisories/SQUID-2019_10.txt

http://www.squid-cache.org/Advisories/SQUID-2019_7.txt