Рекомендация Debian по безопасности

DSA-3625-1 squid3 -- обновление безопасности

Дата сообщения:
22.07.2016
Затронутые пакеты:
squid3
Уязвим:
Да
Ссылки на базы данных по безопасности:
В системе отслеживания ошибок Debian: Ошибка 823968.
В каталоге Mitre CVE: CVE-2016-4051, CVE-2016-4052, CVE-2016-4053, CVE-2016-4054, CVE-2016-4553, CVE-2016-4554, CVE-2016-4555, CVE-2016-4556.
Более подробная информация:

В Squid, кеширующем прокси, было обнаружено несколько уязвимостей.

  • CVE-2016-4051:

    Сотрудники CESG и Юрий Каминский обнаружили, что сценарий cachemgr.cgi в Squid уязвим к переполнению буфера при обработке переданных удалённо входных данных, пересылаемых через Squid.

  • CVE-2016-4052:

    Сотрудники CESG обнаружили, что переполнение буфера делает Squid уязвимым к отказу в обслуживании (DoS) при обработке ESI-ответов.

  • CVE-2016-4053:

    Сотрудники CESG обнаружили, что Squid уязвим к публичному раскрытию информации о топологии серверного стека при обработке ESI-ответов.

  • CVE-2016-4054:

    Сотрудники CESG обнаружили, что Squid уязвим к удалённому выполнению кода при обработке ESI-ответов.

  • CVE-2016-4554:

    Цзянцзюнь Чэнь обнаружил, что Squid уязвим к подделке заголовка, что приводит к отравлению кеша и обходу правила одного источника в Squid и некоторых клиентских браузерах.

  • CVE-2016-4555, CVE-2016-4556:

    "bfek-18" и "@vftable" обнаружили, что Squid уязвим к отказу в обслуживании (DoS) при обработке ESI-ответов из-за некорректной обработки указателей и подсчёта ссылок.

В стабильном выпуске (jessie) эти проблемы были исправлены в версии 3.4.8-6+deb8u3.

В тестируемом (stretch) и нестабильном (sid) выпусках эти проблемы были исправлены в версии 3.5.19-1.

Рекомендуется обновить пакеты squid3.