Avis du CERT-FR
Objet : Vulnérabilité de Squid
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Déni de service
Systèmes affectés
Squid 2.5.Stable6 et versions antérieures.
Description
Squid est un serveur mandataire (proxy) pour les protocoles HTTP, HTTPS et FTP.
Une vulnérabilité est présente dans la routine asn_parse_header() appelée lors du traitement des paquets SNMP. Via le biais de requêtes SNMP habilement constituées, un utilisateur mal intentionné peut forcer l'arrêt brutal du serveur Squid.
Contournement provisoire
Désactiver le support SNMP au niveau du serveur Squid ou filtrer les accès au port utilisé par le module SNMP du serveur Squid (3401/UDP par défaut).
Solution
La version 2.5.Stable7 corrige cette vulnérabilité.
Se référer aux bulletins de sécurité des éditeurs (cf. section Documentation) pour l'obtention des correctifs.
Documentation
-
Bulletin de sécurité d'iDEFENSE du 11 octobre 2004
http://www.idefense.com/application/poi/display?id=152&type=vulnerabilities -
Bulletin de sécurité Debian DSA-576 du 29 octobre 2004 :
http://www.debian.org/security/2004/dsa-576 -
Bulletin de sécurité Gentoo GLSA 200410-15 de Gentoo :
http://www.gentoo.org/security/en/glsa/glsa-200410-15.xml -
Bulletin de sécurité Mandrake MDKSA-2004:112 du 22 octobre 2004 :
http://www.mandrakesoft.com/security/advisories?name=MDKSA-2004:112 -
Bulletin de sécurité OpenBSD pour squid du 20 octobre 2004 :
http://www.vuxml.org/openbsd/ -
Bulletin de sécurité Red Hat RHSA-2004:591 du 20 octobre 2004 :
http://rhn.redhat.com/errata/RHSA-2004-591.html -
Nouveautés de la version 2.5.Stable7 sur le site de Squid :
http://www.squid-cache.org/Versions/v2/2.5/squid-2.5.STABLE7-RELEASENOTES.html -
Sources de Squid :
http://www.squid-cache.org
Gestion détaillée du document
| Date | Description |
|---|---|
| 20 octobre 2004 | version initiale. |
| 21 octobre 2004 | ajout de la référence au bulletin de sécurité de Red Hat. |
| 22 octobre 2004 | ajout de la référence au bulletin de sécurité de Mandrake. |
| 29 octobre 2004 | ajout de la référence au bulletin de sécurité de Debian. |
| 22 novembre 2004 | ajout de la référence au bulletin de sécurité de OpenBSD. |