PT-2020-5763 · Squid+8 · Squid+9
Lubos Uhliarik
·
Publicado
2020-08-24
·
Atualizado
2024-06-15
·
CVE-2020-24606
CVSS v3.1
8.6
Alta
| Vetor | AC:L/AV:N/A:H/C:N/I:N/PR:N/S:C/UI:N |
**Nome do software vulnerável e versões afetadas:
Versões do Squid anteriores à 4.13
Versões 5.x do Squid anteriores à 5.0.4
Descrição:
O problema está relacionado à falta de validação de entrada na função peerDigestHandleReply() do servidor proxy Squid. Isso pode ser explorado por um invasor remoto para causar uma negação de serviço. O problema ocorre quando o recurso cache peer é usado com resumos de cache e um par confiável envia uma mensagem de resposta de resumo de cache manipulada, fazendo com que a função peerDigestHandleReply() trate incorretamente o EOF e consuma todos os ciclos de CPU disponíveis.
Recomendações:
Para versões do Squid anteriores à 4.13, atualize para a versão 4.13 ou posterior para resolver o problema.
Para versões do Squid 5.x anteriores à 5.0.4, atualize para a versão 5.0.4 ou posterior para resolver o problema.
Como solução alternativa temporária, considere desativar o recurso de resumos de cache ao usar cache peer para minimizar o risco de exploração.
Correção
DoS
RCE
Improper Locking
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Centos
Linuxmint
Red Hat
Rocky Linux
Squid
Squid Cache
Suse
Ubuntu