Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
(AV:N/AC:L/Au:N/C:N/I:N/A:P)
Производитель ПО
Наименование ПО
squid
(any)
Описание
Squid - это высокопроизводительный кэширующий proxy-сервер для веб-клиентов с поддержкой объектов данных FTP, Gopher и HTTP.
Уязвимость обнаружена в Squid при обработке некоторых полей заголовков внешнего ACL helper HTTP, которые не используют запятую в качестве разделителя. Злоумышленник, действующий удаленно, может создать специально сформированный запрос серверу Squid, что вызовет чрезмерное потребление ресурсов процессора (до 100%). (CVE-2009-2855)
Замечание: Уязвимости CVE-2009-2855 подвержены только нестандартные конфигурации, которые используют сценарий внешнего ACL helper.
Уязвимость обнаружена в Squid при обработке усеченных DNS-ответов. Злоумышленник, действующий удаленно, может отправлять специально сформированные UDP-пакеты на порт DNS-клиента Squid, может приводит к ошибке assertion failure в дочернем процессе Squid и аварийному завершению этого дочернего процесса. (CVE-2010-0308)
Данное обновление также исправляет следующие ошибки:
* Сценарий инициализации Squid возвращает ненулевое значение при попытке остановить ранее остановленную службу. Это не соответствует LSB и может создать проблемы при работе с кластерами. Данное обновление делает останов служб соответствующим LSB. (BZ#521926)
* Squid не поддерживает фильтрацию MAC-адресов в списках контроля доступа (ACL). Данное обновление включает в себя поддержку фильтрации MAC-адресов. (BZ#496170)
* Squid некорректно осуществляет поддержку аутентификации Kerberos. Данное обновление включает аутентификацию Kerberos. (BZ#516245)
* Squid не включает номер порта как часть URI. Это приводит к ошибке 403. Данное обновление исправляет эту ошибку. (BZ#538738)
* функциональность error_map не выполняется, если аналогичная обработка запущена на сервере HTTP, который работает в режиме deflate. Данное обновление исправляет эту уязвимость. (BZ#470843)
Всем пользователям squid рекомендуется обновить программное обеспечение, чтобы избавиться от указанной проблемы. После установки обновления служба squid будет перезапущена автоматически.
Уязвимость обнаружена в Squid при обработке некоторых полей заголовков внешнего ACL helper HTTP, которые не используют запятую в качестве разделителя. Злоумышленник, действующий удаленно, может создать специально сформированный запрос серверу Squid, что вызовет чрезмерное потребление ресурсов процессора (до 100%). (CVE-2009-2855)
Замечание: Уязвимости CVE-2009-2855 подвержены только нестандартные конфигурации, которые используют сценарий внешнего ACL helper.
Уязвимость обнаружена в Squid при обработке усеченных DNS-ответов. Злоумышленник, действующий удаленно, может отправлять специально сформированные UDP-пакеты на порт DNS-клиента Squid, может приводит к ошибке assertion failure в дочернем процессе Squid и аварийному завершению этого дочернего процесса. (CVE-2010-0308)
Данное обновление также исправляет следующие ошибки:
* Сценарий инициализации Squid возвращает ненулевое значение при попытке остановить ранее остановленную службу. Это не соответствует LSB и может создать проблемы при работе с кластерами. Данное обновление делает останов служб соответствующим LSB. (BZ#521926)
* Squid не поддерживает фильтрацию MAC-адресов в списках контроля доступа (ACL). Данное обновление включает в себя поддержку фильтрации MAC-адресов. (BZ#496170)
* Squid некорректно осуществляет поддержку аутентификации Kerberos. Данное обновление включает аутентификацию Kerberos. (BZ#516245)
* Squid не включает номер порта как часть URI. Это приводит к ошибке 403. Данное обновление исправляет эту ошибку. (BZ#538738)
* функциональность error_map не выполняется, если аналогичная обработка запущена на сервере HTTP, который работает в режиме deflate. Данное обновление исправляет эту уязвимость. (BZ#470843)
Всем пользователям squid рекомендуется обновить программное обеспечение, чтобы избавиться от указанной проблемы. После установки обновления служба squid будет перезапущена автоматически.
Как исправить
Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
https://rhn.redhat.com/errata/RHSA-2010-0221.html
https://rhn.redhat.com/errata/RHSA-2010-0221.html
Ссылки
https://rhn.redhat.com/errata/RHSA-2010-0221.html
CVE (CVE-2009-2855): https://www.redhat.com/security/data/cve/CVE-2009-2855.html
CVE (CVE-2010-0308): https://www.redhat.com/security/data/cve/CVE-2010-0308.html
BUGZILLA (496170): http://bugzilla.redhat.com/496170
BUGZILLA (516245): http://bugzilla.redhat.com/516245
BUGZILLA (518182): http://bugzilla.redhat.com/518182
BUGZILLA (521926): http://bugzilla.redhat.com/521926
BUGZILLA (538738): http://bugzilla.redhat.com/538738
BUGZILLA (556389): http://bugzilla.redhat.com/556389
Источник: CVE
Наименование: CVE-2009-2855
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2855
Источник: CVE
Наименование: CVE-2010-0308
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0308
CVE (CVE-2009-2855): https://www.redhat.com/security/data/cve/CVE-2009-2855.html
CVE (CVE-2010-0308): https://www.redhat.com/security/data/cve/CVE-2010-0308.html
BUGZILLA (496170): http://bugzilla.redhat.com/496170
BUGZILLA (516245): http://bugzilla.redhat.com/516245
BUGZILLA (518182): http://bugzilla.redhat.com/518182
BUGZILLA (521926): http://bugzilla.redhat.com/521926
BUGZILLA (538738): http://bugzilla.redhat.com/538738
BUGZILLA (556389): http://bugzilla.redhat.com/556389
Источник: CVE
Наименование: CVE-2009-2855
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2855
Источник: CVE
Наименование: CVE-2010-0308
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0308
