S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 21 février 2005
N° CERTA-2005-AVI-084
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité dans Squid

Gestion du document

Référence CERTA-2005-AVI-084
Titre Vulnérabilité dans Squid
Date de la première version21 février 2005
Date de la dernière version10 juin 2005
Source(s) Bulletin de sécurité Gentoo GLSA-200502-25 du 18 février 2005
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Déni de service

Systèmes affectés

Versions antérieures à Squid 2.5.8.

Résumé

Une vulnérabilité découverte dans le serveur mandataire (proxy) Squid permet à un utilisateur mal intentionné d'effectuer un déni de service sur le serveur vulnérable.

Description

Squid est un serveur mandataire (proxy) pour plusieurs protocoles dont HTTP, HTTPS et FTP.

Une vulnérabilité présente dans le traitement de certaines réponses DNS (Domain Name System) permet à un utilisateur mal intentionné d'effectuer un déni de service au moyen de réponses DNS malicieusement constituées.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentaion).

Documentation

Gestion détaillée du document

    le 21 février 2005
    version initiale.
    le 24 février 2005
    ajout du site Internet Squid, des références aux bulletins de sécurité Debian et SUSE ainsi que de la référence CVE.
    le 25 février 2005
    ajout de la référence au bulletin de sécurité Mandrake.
    le 28 février 2005
    ajout des références aux mises à jour de sécurité Fedora.
    le 01 mars 2005
    ajout de la référence au bulletin de sécurité NetBSD.
    le 04 mars 2005
    ajout de la référence au bulletin de sécurité RedHat.
    le 10 juin 2005
    ajout de la référence au bulletin de sécurité FreeBSD.