DebianDSA-4122-1：squid3 - セキュリティ更新

high Nessus プラグイン ID 106957

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

フル機能のWebプロキシキャッシュであるSquid3に、複数の脆弱性が発見されました。Common Vulnerabilities and Exposuresプロジェクトでは、次の問題を特定しています：

- CVE-2018-1000024Louis Dion-Marcil氏は、Squidが特定のESI応答を適切に処理しないことを発見しました。特定のESI応答構文を配信するリモートサーバーは、この欠陥を利用して、Squidサービスにアクセスするすべてのクライアントにサービス拒否を引き起こす可能性があります。この問題は、SquidカスタムESIパーサーに限定されます。

- CVE-2018-1000027Louis Dion-Marcil氏は、ESI応答を処理するまたは中間CA証明書をダウンロードする際に、Squidがサービス拒否の脆弱性に脆弱であることを発見しました。リモート攻撃者がこの欠陥を利用して、Squidサービスにアクセスするすべてのクライアントにサービス拒否を引き起こす可能性があります。

ソリューション

squid3パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（jessie）では、これらの問題はバージョン3.4.8-6+deb8u5で修正されています。

安定版（stable）ディストリビューション（stretch）では、これらの問題はバージョン3.5.23-5+deb9u1で修正されています。