Avis du CERT-FR
Objet : Vulnérabilité sur Squid
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Déni de service
- Exécution de code arbitraire
Systèmes affectés
Versions de squid 2.4.6 et antérieures.
Résumé
De multiples vulnérabilités présentes dans le proxy squid permettent, sous certaines conditions, à un utilisateur mal intentionné d'exécuter du code arbitraire à distance, de réaliser un déni de service ou encore de voler des informations sur la machine cible.
Description
Plusieurs vulnérabilités présentes dans la gestion du protocole gopher et une vulnérabilité dans l'analyse grammaticale (parsing) des répertoires ftp permettent à un utilisateur mal intentionné d'exécuter du code arbitraire à distance avec les privilèges de l'utilisateur squid.
Une vulnérabilité présente dans la recherche des adresses IP dans les connexions ftp et une vulnérabilité présente sur les informations d'authentification des utilisateurs permettent à un utilisateur mal intentionné de voler les informations de sessions des utilisateurs authentifiés.
Une autre vulnérabilité de type « débordement de mémoire » présente dans l'authentification MSNT sur les plateformes Windows/NT permet à un utilisateur mal intentionné d'exécuter du code arbitraire avec les privilèges de l'utilisateur squid.
Solution
Installer le correctif ou la nouvelle version 2.4.7 de squid correspondant à votre système (se référer à la section documentation).
Documentation
-
Avis de sécurité MDKSA-2002:044 de mandrake :
http://www.mandrakesecure.net/en/advisories/2002/MDKSA-2002-044.php -
Avis de sécurité RHSA-2002:051-16 de redhat :
http://rhn.redhat.com/errata/RHSA-2002-051.html -
Avis de sécurité SQUID-2002:3 de squid :
http://www.squid-cache.org/Advisories/SQUID-2002_3.txt -
Avis de sécurité SuSE-SA:2002:025 de suze :
http://www.suse.com/de/support/security/2002_025_squid_txt.html -
Mise à jour de la version 2.4.6 :
http://www.squid-cache.org/Versions/v2/2.4/diff-2.4.STABLE6-2.4.STABLE7.gz -
Version 2.4.STABLE7 :
http://www.squid-cache.org/Versions/v2/2.4/diff-2.4.STABLE7-src.tar.gz
Gestion détaillée du document
| Date | Description |
|---|---|
| 05 juillet 2002 | version initiale ; |
| 19 juillet 2002 | ajout des bulletins redhat, mandrake et suze. |