Avis du CERT-FR
Objet : Vulnérabilité de Squid
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- toutes les versions de Squid de la branche de développement 3.0.
- Toutes les versions de Squid de la branche stable 2.5 ;
Résumé
Une vulnérabilité dans le support du protocole d'authentification NTLM permet à un utilisateur mal intentionné d'exécuter du code arbitraire à distance.
Description
Squid est un serveur mandataire (proxy) pour les protocoles HTTP, HTTPS
et FTP.
Un débordement de mémoire dans le module de gestion du protocole
d'authentification NTLM permet à un utilisateur mal intentionné
d'exécuter du code arbitraire à distance à l'aide d'un mot de passe
arbitrairement long.
Contournement Provisoire
Recompiler Squid en désactivant le support pour NTLM.
Solution
Se référer à la section Documentation pour l'obtention du correctif.
Un correctif pour le code source de Squid est disponible à l'adresse
suivante :
http://www.squid-cache.org/˜wessels/patch/libntlmssp.c.patch
Documentation
-
Avis de sécurité iDEFENSE du 08 juin 2004
http://www.idefense.com/application/poi/display?id=107&type=vulnerabilities -
Avis de sécurité FreeBSD sur Squid du 09 juin 2004 :
http://www.vuxml.org/freebsd/ -
Avis de sécurité Gentoo GLSA 200406-13 du 17 juin 2004 :
http://www.gentoo.org/security/en/glsa/glsa-200406-13.xml -
Bulletin de sécurité MDKSA-2004:059 de Mandrake du 09 juin 2004 :
http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2004:059 -
Bulletin de sécurité RHSA-2004-242 de Red Hat du 09 juin 2004 :
http://rhn.redhat.com/errata/RHSA-2004-242.html -
Bulletin de sécurité SuSE-SA:2004:016 de SuSE du 09 juin 2004 :
http://www.suse.com/de/security/2004_16_squid.html -
Site Internet de Squid :
http://www.squid-cache.org
Gestion détaillée du document
| Date | Description |
|---|---|
| 09 juin 2004 | version initiale. |
| 10 juin 2004 | ajout des références aux avis de Mandrake, SuSE et Red Hat. |
| 14 juin 2004 | ajout de la référence à l'avis de sécurité FreeBSD. |
| 17 juin 2004 | ajout de la référence à l'avis de sécurité Gentoo. |