したがって、ALAS2023-2024-578 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Squid は、HTTP、HTTPS、FTP などをサポートする Web 用のキャッシングプロキシです。バッファオーバーリードのバグにより、Squid は Squid HTTP メッセージ処理に対するサービス拒否攻撃に脆弱です。このバグは、Squid バージョン 6.5 で修正されています。ユーザーにアップグレードすることを推奨します。この脆弱性に対する既知の回避策はありません。
    (CVE-2023-49285)

    Squid は、HTTP、HTTPS、FTP などをサポートする Web 用のキャッシングプロキシです。影響を受けるバージョンの squid は、メモリ解放後使用 (Use After Free) のバグの対象となり、Collapsed Forwarding でサービス拒否攻撃を引き起こす可能性があります。
    collapsed_forwarding がオンに設定されている 3.5 から 5.9 までのすべてのバージョンの Squid に脆弱性があります。crushd_forwarding がオフの設定、または collapsed_forwarding ディレクティブのない設定には脆弱性はありません。このバグは、Squid バージョン 6.0.1 で修正されています。ユーザーはアップグレードすることをお勧めします。アップグレードできないユーザーは、squid.conf からすべての collapsed_forwarding 行を削除する必要があります。(CVE-2023-49288)

    SQUID-2023:2 HTTP 応答キャッシングでの複数の問題 (CVE-2023-5824)

    Squid はウェブ用のキャッシングプロキシです。期限切れのポインター参照のバグのために、バージョン 6.6 より前の Squid は、キャッシュマネージャーのエラー応答に対するサービス拒否攻撃に脆弱です。この問題により、信頼できるクライアントが、Client Manager レポートのエラーページを生成するときにサービス拒否を実行する可能性があります。5.0.5 より前の Squid はテストされておらず、脆弱であると想定する必要があります。5.9 までのすべての Squid-5.x は脆弱です。6.5 までのすべての Squid-6.x は脆弱です。このバグは、Squid バージョン 6.6 で修正されています。さらに、この問題に対処する、安定版 (stable) リリース用のパッチが、Squid のパッチアーカイブにあります。回避策として、Squid のメインアクセスコントロールである「http_access deny manager」を使用してキャッシュマネージャーへのアクセスを防ぎます。(CVE-2024-23638)

    - Squid はウェブプロキシキャッシュです。バージョン 3.5.27 より前のバージョン 6.8から、Squid は、制御されない再帰のバグにより、HTTP Chunked デコーダーに対するサービス拒否攻撃に脆弱である可能性があります。この問題により、細工され、チャンクされ、エンコードされた HTTP メッセージを送信する際に、リモートの攻撃者がサービス拒否を引き起こす可能性があります。このバグは、Squid バージョン 6.8 で修正されています。さらに、この問題に対処する、安定版 (stable) リリース用のパッチが、Squid のパッチアーカイブにあります。この問題に対する回避策はありません。
    (CVE-2024-25111)

    Squid はウェブ用のキャッシングプロキシです。バージョン 6.3 以前では、Squid は、バッファ管理が不適切なため、URN を処理する際に、ヒープバッファオーバーフローおよび潜在的なリモートコード実行攻撃に対して脆弱です。
    これはバージョン6.4で修正されました。この問題を回避するには、URN アクセス許可を無効にしてください。
    (CVE-2025-54574)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : squid (ALAS2023-2024-578)

critical Nessus プラグイン ID 192888

バージョン 1.5