PT-2020-2566 · Squid+7 · Squid+8
Jeriko One
·
Publicado
2019-07-15
·
Atualizado
2021-02-09
·
CVE-2019-12524
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Squid até a 4.7
Descrição
Foi descoberta uma falha no Squid ao processar solicitações de usuários. O Squid verifica suas regras para determinar se a solicitação deve ser negada e, por padrão, inclui regras para bloquear o acesso ao Cache Manager, que fornece informações detalhadas do servidor destinadas ao administrador. Essa regra é implementada por meio de
url regex. O manipulador das regras url regex descodifica a URL de uma solicitação recebida, permitindo que um invasor codifique sua URL para contornar a verificação url regex e obter acesso ao recurso bloqueado. A vulnerabilidade está relacionada à falta de um mecanismo de autenticação para url regex.Recomendações
Para versões do Squid até a 4.7, considere desativar o manipulador
url regex até que um patch esteja disponível para impedir que invasores contornem a verificação url regex. Restrinja o acesso ao Cache Manager para minimizar o risco de exploração. Evite usar a regra url regex para bloquear o acesso a recursos confidenciais até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Centos
Red Hat
Rocky Linux
Squid
Squid Cache
Suse
Ubuntu