Squid
ha publicado tres boletines de seguridad
destinados a solucionar cuatro nuevas
vulnerabilidades en SQUID que podrían permitir a atacantes remotos envenenar la caché, evitar restricciones de
seguridad o provocar condiciones de denegación de servicio.
Squid es uno de los servidores
proxys más populares, en gran parte por ser de código abierto y multiplataforma
(aunque sus comienzos fueron para sistemas Unix).
El primer problema,
con CVE-2016-4553,
se debe a una validación incorrecta de los datos de mensajes http interceptados
los clientes pueden evitar la protección contra fallos relacionados con la
vulnerabilidad CVE-2009-0801.
Esto podría permitir el envenenamiento de la caché. Afecta a Squid 3.2.0.11 a 3.5.17
y Squid 4.x.
Por otra parte, con CVE-2016-4554,
una validación
incorrecta de las entradas permite la realización de ataques "smuggling" de cabeceras lo que
permitiría el envenenamiento de la caché o evitar las políticas de mismo origen
en Squid y en algunos navegadores. Afecta a todas las versiones de Squid.
Por último, dos vulnerabilidades
por tratamiento inadecuado de punteros pueden provocar condiciones de
denegación de servicio al tratar respuestas ESI. Afectan a Squid 3.x y Squid
4.x. Se han asignado los CVE-2016-4555
y CVE-2016-4556.
Los problemas están solucionados
en las versiones Squid 3.5.18 y 4.0.10, o también se pueden aplicar los parches
disponibles desde:
Squid 3.1:
Squid 3.2:
Squid 3.3:
Squid 3.4:
Squid 3.5:
En el último mes, se han
publicado actualizaciones en otras dos ocasiones para otras dos
y cuatro
vulnerabilidades diferentes respectivamente que podían permitir a atacantes
remotos provocar condiciones de denegación de servicio, conseguir información
sensible o ejecutar código arbitrario.
Más información:
Squid Proxy Cache Security Update Advisory
SQUID-2016:7
Cache poisoning issue in HTTP Request handling
Squid Proxy Cache Security Update Advisory
SQUID-2016:8
Header smuggling issue in HTTP Request
processing
Squid Proxy Cache Security Update Advisory
SQUID-2016:9
Multiple Denial of Service issues in ESI
Response processing.
una-al-dia (24/04/2016) Cuatro
nuevas vulnerabilidades en Squid
una-al-dia (09/04/2016)
Solucionadas dos vulnerabilidades en Squid
Antonio Ropero
Twitter: @aropero
