Squid緩沖區溢出漏洞安全通告
發布時間 2019-11-07漏洞編號和級別
CVE編號：CVE-2019-12526，危險級別：高危，CVSS分值：官方未評定
CVE編號：CVE-2019-18678，危險級別：中危，CVSS分值：官方未評定
CVE編號：CVE-2019-18679，危險級別：中危，CVSS分值：官方未評定
影響版本
Squid 3.x至3.5.28(包括3.5.28)
所有Squid-4.x至4.8版本(包括4.8)
漏洞概述
Squid是一套代理服務器和Web緩存服務器軟件。該軟件提供緩存萬維網、過濾流量、代理上網等功能。
Squid官方發布安全更新修復了多個漏洞，其中CVE-2019-12526為緩沖區溢出高危漏洞，可能導致遠程代碼執行，概述如下：
CVE-2019-12526
由于不正確的緩沖區管理，遠程攻擊者可以通過向目標服務器發送精心設計的HTTP請求來利用此漏洞。成功利用將導致攻擊者能夠使用服務器進程的權限執行任意代碼，而不成功的攻擊將導致服務器進程異常終止。
CVE-2019-18678
在消息解析時，由于錯誤的消息解析，Squid容易出現HTTP請求拆分問題。
CVE-2019-18679
由于錯誤的數據管理，Squid在處理HTTP摘要認證時引發信息泄露。
漏洞驗證
暫無POC/EXP。
修復建議
升級到Squid 4.9：http://www.squid-cache.org/Versions/v4/。
各漏洞臨時緩解措施如下：
CVE-2019-12526
拒絕 urn: 協議的 URI 被代理給所有客戶端：
acl URN proto URN
http_access deny URN
CVE-2019-18679
1.在squid.conf配置文件中移除掉'auth_param digest ...'
2.構建Squid時加上參數 --disable-auth-basic
參考鏈接
http://www.squid-cache.org/Advisories/SQUID-2019_11.txt
http://www.squid-cache.org/Advisories/SQUID-2019_10.txt
http://www.squid-cache.org/Advisories/SQUID-2019_7.txt
京公網安備11010802024551號