Cuatro nuevas vulnerabilidades en Squid

Squid es uno de los servidores proxys más populares, en gran parte por ser de código abierto y multiplataforma (aunque sus comienzos fueron para sistemas Unix).

Tres de las vulnerabilidadesresiden en desbordamientos de búfer y validación incorrecta de entradas en el tratamiento de respuestas ESI (Edge Side Includes) que podrían dar lugar a denegaciones de servicio de todo el sistema, obtención de información sensible o ejecución de código arbitrario. Afectan a Squid 3.x y Squid 4.x. Se han asignado los CVE-2016-4052, CVE-2016-4053y CVE-2016-4054.

Por otra parte, con CVE-2016-4051, otra vulnerabilidadde desbordamiento de búfer en la herramienta cachemgr.cgi al tratar entradas remotas reenviadas desde Squid. Afecta a Squid 2.x, Squid 3.x y Squid 4.x

Los problemas están solucionados en las versiones Squid 3.5.17 y 4.0.9, o se puede también aplicar los parches disponibles desde:

http://www.squid-cache.org/Versions/v3/3.2/changesets/squid-3.2-11841.patch

Hace apenas 15 días, ya se publicaron actualizaciones para otras dos vulnerabilidades diferentes que podían permitir a atacantes remotos provocar condiciones de denegación de servicio o conseguir información sensible de la memoria.

una-al-dia (09/04/2016) Solucionadas dos vulnerabilidades en Squid

Antonio Ropero

Twitter: @aropero