PT-2021-2457 · Squid+8 · Squid+9
Jianjun Chen
·
Publicado
2021-03-12
·
Atualizado
2024-06-15
·
CVE-2020-25097
CVSS v3.1
8.6
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N |
**Nome do software vulnerável e versões afetadas:
Versões 4.13 e anteriores do Squid
Versões 5.x até 5.0.4 do Squid
Descrição:
O problema está relacionado à implementação da configuração uri whitespace no servidor proxy Squid, associada a uma validação de entrada insuficiente. Isso pode permitir que um invasor remoto envie uma solicitação HTTP oculta, também conhecida como ataque de contrabando de solicitações HTTP (HTTP Request Smuggling), potencialmente acessando serviços que, de outra forma, seriam proibidos por controles de segurança.
Recomendações:
Para as versões 4.13 e anteriores do Squid, atualize para uma versão que inclua a correção para este problema.
Para as versões 5.x a 5.0.4 do Squid, atualize para uma versão que inclua a correção para este problema.
Como solução alternativa temporária, considere restringir o uso da configuração uri whitespace até que um patch esteja disponível.
Exploit
Correção
HTTP Request/Response Smuggling
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Centos
Linuxmint
Red Hat
Rocky Linux
Squid
Squid Cache
Suse
Ubuntu