Bulletin d'alerte Debian
DSA-667-1 squid -- Plusieurs vulnérabilités
- Date du rapport :
- 4 février 2005
- Paquets concernés :
- squid
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le dictionnaire CVE du Mitre : CVE-2005-0173, CVE-2005-0175, CVE-2005-0194, CVE-2005-0211.
Les annonces de vulnérabilité et les bulletins d'alerte du CERT : VU#924198, VU#625878, VU#886006. - Plus de précisions :
-
Plusieurs vulnérabilités ont été découvertes dans Squid, le cache d'objet pour Internet et cache de serveur mandataire web très populaire. Le projet « Common Vulnerabilities and Exposures » a identifié les problèmes suivants :
- CAN-2005-0173
LDAP est très laxiste quant aux espaces utilisés dans les filtres de recherche. Cela pouvait être exploité pour s'authentifier en utilisant plusieurs variantes du nom d'utilisateur, peut-être en outrepassant des contrôles d'accès explicites ou une comptabilité de trafic erronée.
- CAN-2005-0175
Une possibilité de pollution et empoisonnement du cache par découpage des réponses HTTP a été découverte.
- CAN-2005-0194
L'interprétation des listes de contrôle d'accès devient erronée si une des ACL (listes de contrôle d'accès) est déclarée vide, sans aucun membre.
- CAN-2005-0211
L'argument de l'appel WCCP recvfrom() était plus grand qu'il n'aurait dû. Un attaquant pouvait envoyer un paquet WCCP plus grand que prévu et provoquer ainsi un dépassement de tampon.
Pour l'actuelle distribution stable (Woody), ces problèmes ont été corrigés dans la version 2.4.6-2woody6.
Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 2.5.7-7.
Nous vous recommandons de mettre à jour votre paquet squid.
- CAN-2005-0173
- Corrigé dans :
-
Debian GNU/Linux 3.0 (woody)
- Source :
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6-2woody6.dsc
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6-2woody6.diff.gz
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6.orig.tar.gz
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6-2woody6.diff.gz
- Alpha:
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6-2woody6_alpha.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_alpha.deb
- http://security.debian.org/pool/updates/main/s/squid/squidclient_2.4.6-2woody6_alpha.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_alpha.deb
- ARM:
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6-2woody6_arm.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_arm.deb
- http://security.debian.org/pool/updates/main/s/squid/squidclient_2.4.6-2woody6_arm.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_arm.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6-2woody6_i386.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_i386.deb
- http://security.debian.org/pool/updates/main/s/squid/squidclient_2.4.6-2woody6_i386.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6-2woody6_ia64.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_ia64.deb
- http://security.debian.org/pool/updates/main/s/squid/squidclient_2.4.6-2woody6_ia64.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_ia64.deb
- HPPA:
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6-2woody6_hppa.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_hppa.deb
- http://security.debian.org/pool/updates/main/s/squid/squidclient_2.4.6-2woody6_hppa.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_hppa.deb
- Motorola 680x0:
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6-2woody6_m68k.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_m68k.deb
- http://security.debian.org/pool/updates/main/s/squid/squidclient_2.4.6-2woody6_m68k.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_m68k.deb
- Big endian MIPS:
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6-2woody6_mips.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_mips.deb
- http://security.debian.org/pool/updates/main/s/squid/squidclient_2.4.6-2woody6_mips.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_mips.deb
- Little endian MIPS:
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6-2woody6_mipsel.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_mipsel.deb
- http://security.debian.org/pool/updates/main/s/squid/squidclient_2.4.6-2woody6_mipsel.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6-2woody6_powerpc.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_powerpc.deb
- http://security.debian.org/pool/updates/main/s/squid/squidclient_2.4.6-2woody6_powerpc.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6-2woody6_s390.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_s390.deb
- http://security.debian.org/pool/updates/main/s/squid/squidclient_2.4.6-2woody6_s390.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/s/squid/squid_2.4.6-2woody6_sparc.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_sparc.deb
- http://security.debian.org/pool/updates/main/s/squid/squidclient_2.4.6-2woody6_sparc.deb
- http://security.debian.org/pool/updates/main/s/squid/squid-cgi_2.4.6-2woody6_sparc.deb
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.