Risques
- Déni de service
- Exécution d'un code arbitraire
Systèmes affectés
squid versions 2.4.3 et antérieures.
Résumé
Deux vulnérabilités présentes dans squid permettent à un utilisateur mal intentionné de provoquer un déni de service du serveur mandataire ( « proxy » ) squid, ainsi que l'éxécution de code arbitraire.
Description
squid est un serveur mandataire très utilisé sur les plateformes Unix.
-
Une vulnérabilité de type « débordement de mémoire » présente dans l'interface SNMP de squid permet à un utilisateur mal intentionné d'envoyer des paquets sur le port SNMP de squid afin de réaliser un déni de service du serveur mandataire. Ceci n'est réalisable que si l'interface SNMP est active (Désactivée par défaut).
-
Une vulnérabilité de type « débordement de mémoire » présente dans la gestion des URL de type « (ftp://) » permet à un utilisateur mal intentionné de réaliser un déni de service du serveur mandataire ou éventuellement l'éxécution d'un code arbitraire.
-
Une vulnérabilité est présente sur la désactivation de l'interface HTCP de squid (interface utilisée pour la communication d'un serveur squid avec les caches des serveurs squid distants). L'interface HTCP est souvent désactivée lors de l'installation de squid cependant quelques revendeurs active cette interface lors de l'installation de squid.
Contournement provisoire
Désactiver l'interface SNMP de squid.
Verifier que l'interface HTCP n'est pas installée par défaut sur votre système, au quel cas il serait préférable de réinstaller la Squid.
Solution
Mettre à jour squid avec la version squid-2.4.4.
Documentation
- Bulletin de sécurité Squid-2002:1 de Squid : Bulletin de sécurité FreeBSD-SA-02:12 de FreeBSD : ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-02:12.squid.asc Bulletin de sécurité SUSE-SA:2002:008 de Suse : http://www.suse.com/us/support/security http://www.squid-cache.org/Advisories/SQUID-2002_1.txt
