Vulnérabilités dans Squid

Plusieurs vulnérabilités importantes ont été découvertes dans Squid, un serveur mandataire (proxy) libre. Elles peuvent permettre à un attaquant distant et non authentifié d’accéder à des données sensibles et de provoquer un déni de service.

CVE-2019-12528 [Score CVSS v3 : 7.5] : Un défaut dans la gestion des données de Squid a été découvert. Ce défaut peut permettre à un attaquant, à l’aide d’un serveur FTP malveillant, de faire fuiter des informations depuis la mémoire et ainsi accéder à des données sensibles telles que des informations sur les sessions des autres utilisateurs.

CVE-2020-8449 [Score CVSS v3 : 7.5] : Un problème de validation incorrecte d’entrées dans Squid peut provoquer une interprétation inattendue pour des requêtes HTTP. Un attaquant peut exploiter cette vulnérabilité en utilisant des requêtes HTTP spécialement conçues afin d’accéder à des ressources normalement non autorisées.

CVE-2020-8450 [Score CVSS v3 : 7.3] : Un problème dans la gestion de la mémoire tampon dans Squid lorsqu’il est utilisé en tant que mandataire inverse (reverse proxy) peut causer un dépassement de tampon.

CVE-2020-8517 [Score CVSS v3 : 7.5] : Ce problème est limité aux installations utilisant de binaire ext_lm_group_acl.

A cause d’un problème dans la validation des entrées, le parseur des authentifications NTLM peut écrire hors des limites mémoires accordées aux authentifications. Ceci peut provoquer un déni de service.