Squid opravuje vysoce závažnou zranitelnost

Připadá Vám tento report dobře zpracovaný? *

Ano

Používáte tuto technologii? *

Ano

Byl pro Vás tento report užitečný?

Ano

Budeme rádi, pokud se rozepíšete:

Bezpečnostní služby poskytované organizací CESNET jsou navrženy jako významná podpora při zajišťování kybernetické bezpečnosti připojených organizací. Přestože usilujeme o poskytování kvalitních a spolehlivých služeb, není možné garantovat absolutní pokrytí všech bezpečnostních zranitelností. Naše služby by měly být vnímány jako doplněk k vlastnímu bezpečnostnímu řízení organizací, nikoli jako jeho náhrada. Klient nese konečnou odpovědnost za zabezpečení svého prostředí.

[TLP:CLEAR] Squid opravuje vysoce závažnou zranitelnost

Squid verzí 6.10 opravuje vysoce závažnou zranitelnost [1].

Squid - denial of service (CVE-2024-45802)

CVSS 7.5 (High)

Neautentizovanému vzdálenému útočníkovi je skrze důvěryhodný server při zpracování obsahu Edge Side Includes (ESI) odpovědí umožněno vykonat DoS útok. Zranitelnost je zneužitelná v systémech s povolenými ESI, což lze ověřit spuštěním příkazu "squid -v": pro zranitelné verze, pokud výstup příkazu neobsahuje text "--disable-esi", pro opravené verze, pokud výstup obsahuje text "--enable-esi" [1].

Zranitelnost se nachází v produktu:

Squid; >=3.0, <=5.10; >=6.0.1, <=6.9

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

CVE-2024-45802 na cve.org, NVD
CWE-20: Improper Input Validation na cwe.mitre.org

Zranitelnost byla veřejně oznámena 28. 10. 2024.

Odkazy

[1] https://github.com/squid-cache/squid/security/advisories/GHSA-f975-v7qw-q7hj

Za CESNET, z.s.p.o. Michaela Ručková dne 30. 10. 2024.

Zpětná vazba k reportu

[TLP:CLEAR] Squid opravuje vysoce závažnou zranitelnost

Squid - denial of service (CVE-2024-45802)

CVSS 7.5 (High)

Odkazy