Marianne ANSSI

CERT-FR

Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques

logo ANSSI
Informations utiles

Que faire en cas d'intrusion ?

Les systèmes obsolètes

Liens utiles

 

L'ANSSI recrute

 

 

Les documents du CERT-FR

Publications récentes

Les alertes en cours

Les bulletins d'actualité

Les notes d'information

Année en cours Archive

 

Les Flux RSS du CERT-FR

Flux RSS complet

RSS

Flux RSS des alertes

RSS

Flux RSS SCADA

RSS

 

CERTA-2002-AVI-043

Imprimer ce document

Version PDF

À propos du CERT-FR

Le CERT-FR

Nous contacter

Contact us ( Drapeau anglais )

A propos du site

Communauté CSIRT

Les CSIRT

Le FIRST

L'EGC

 
Archives du CERT-FR

Année 2017 Archive

Année 2016 Archive

Année 2015 Archive

Année 2014 Archive

Année 2013 Archive

Année 2012 Archive

Année 2011 Archive

Année 2010 Archive

Année 2009 Archive

Année 2008 Archive

Année 2007 Archive

Année 2006 Archive

Année 2005 Archive

Année 2004 Archive

Année 2003 Archive

Année 2002 Archive

Année 2001 Archive

Année 2000 Archive

 

S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

République Française Paris, le 22 février 2002
No CERTA-2002-AVI-043-001

Affaire suivie par :

CERTA

AVIS DU CERTA

Objet : Multiples vulnérabilités sur squid


Conditions d'utilisation de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document : http://www.certa.ssi.gouv.fr/site/CERTA-2002-AVI-043

Gestion du document


Tableau 1: gestion du document
Référence CERTA-2002-AVI-043-001
Titre Multiples Vulnérabilités sur squid
Date de la première version 22 février 2002
Date de la dernière version 07 mars 2002
Source(s) Bulletin de sécurité de squid
Pièce(s) jointe(s) Aucune
   

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

  • Déni de service;
  • exécution d'un code arbitraire.

2 Systèmes affectés

squid versions 2.4.3 et antérieures.

3 Résumé

Deux vulnérabilités présentes dans squid permettent à un utilisateur mal intentionné de provoquer un déni de service du serveur mandataire ( « proxy » ) squid, ainsi que l'éxécution de code arbitraire.

4 Description

squid est un serveur mandataire très utilisé sur les plateformes Unix.
  • Une vulnérabilité de type « débordement de mémoire » présente dans l'interface SNMP de squid permet à un utilisateur mal intentionné d'envoyer des paquets sur le port SNMP de squid afin de réaliser un déni de service du serveur mandataire. Ceci n'est réalisable que si l'interface SNMP est active (Désactivée par défaut).


  • Une vulnérabilité de type « débordement de mémoire » présente dans la gestion des URL de type « (ftp://) » permet à un utilisateur mal intentionné de réaliser un déni de service du serveur mandataire ou éventuellement l'éxécution d'un code arbitraire.


  • Une vulnérabilité est présente sur la désactivation de l'interface HTCP de squid (interface utilisée pour la communication d'un serveur squid avec les caches des serveurs squid distants). L'interface HTCP est souvent désactivée lors de l'installation de squid cependant quelques revendeurs active cette interface lors de l'installation de squid.

5 Contournement provisoire

Désactiver l'interface SNMP de squid.

Verifier que l'interface HTCP n'est pas installée par défaut sur votre système, au quel cas il serait préférable de réinstaller la Squid.

6 Solution

Mettre à jour squid avec la version squid-2.4.4.

7 Documentation

Bulletin de sécurité Squid-2002:1 de Squid :
http://www.squid-cache.org/Advisories/SQUID-2002_1.txt

Bulletin de sécurité FreeBSD-SA-02:12 de FreeBSD :

ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-02:12.squid.asc

Bulletin de sécurité SUSE-SA:2002:008 de Suse :

http://www.suse.com/us/support/security

Gestion détaillée du document

22 février 2002
version initiale.
07 mars 2002
ajout référence avis SuSE.


CERTA
2014-01-17
Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information webmestre Dernière mise à jour : le 2017-03-28