Argitalpen data: 2020/02/04
Garrantzia:
Altua
Kaltetutako baliabideak:
Squid-en ondoko bertsioak:
- 2.x bertsiotik 2.7.STABLE9ra bitartekoak;
- 3.x bertsiotik 3.5.28ra bitartekoak;
- 4.x bertsiotik 4.9ra bitartekoak.
Azalpena:
Squid proxy zerbitzariaren hainbat
bertsiotan hiru ahultasun aurkitu dira. Horiek baliatuz erasotzaile batek
sarbidearen segurtasun kontrolak saihets litzake, zerbitzuaren ukapena eragin
edo informazioa hedatu.
Konponbidea:
4.10 bertsiora eguneratzea.
Xehetasuna:
- Sarreraren baliozkotze oker baten ondorioz,
Squid-ek bereziki diseinatutako HTTP eskariak modu okerrean interpreta ditzake,
aurreko segurtasun iragazkiek debekatutako zerbitzariaren baliabideetara
sarbidea lortzeko. Gainera, bufferraren administrazio okerraren ondorioz,
urruneko bezero batek bufferraren gainezkatze egoera eragin lezake
alderantzizko proxy modura funtzionatzen duen Squid batean. Ahultasun
horretarako CVE-2020-8449 eta CVE-2020-8450 identifikatzaileak erreserbatu
dira.
- Datuen kudeaketa oker baten ondorioz, Squid ahula da informazio hedapenaren aurrean FTP zerbitzariaren zerrendak HTTP erantzunetara itzultzen dituenean. Ahultasun horretarako CVE-2019-12528 identifikatzailea erreserbatu da.
- Bufferraren kudeaketa okerraren ondorioz, ext_lm_group_acl
fitxategi bitarra ahula da zerbitzuaren ukapen erako eraso baten aurrean, NTLM
(NT LAN Manager) autentifikazio kredentzialak prozesatzen direnean. Ahultasun
horretarako CVE-2020-8517 identifikatzailea erreserbatu da.
Etiketak: Eguneraketa, Komunikazioak, Ahultasuna