Squid < 3.0.STABLE19 / 3.1.0.14 / 2.6.STABLE23 の strListGetItem 関数のリモート DoS
medium Nessus プラグイン ID 44400
Language:
概要
リモートプロキシサーバーは、DoS 攻撃（サービス拒否攻撃）を受けやすくなっています。説明
バナーによると、リモートホストにインストールされているバージョンの Squid プロキシキャッシングサーバーは、3.0.STABLE19 / 3.1.0.14 / 2.6.STABLE23 より前です。「src/HttpHeaderTools.c」の「strListGetItem()」関数のバグにより、特定のコンマ区切りがある特別に細工された auth ヘッダーを処理するとき、無限ループが発生する可能性があります。リモートの攻撃者がこの問題を利用して、サービス拒否を引き起こす可能性があります。
ソリューション
Squid をバージョン 3.0.STABLE19 / 3.1.0.14 / 2.6.STABLE23 以降にアップグレードしてください。参考資料
https://bugs.squid-cache.org/show_bug.cgi?id=2541
http://www.nessus.org/u?d0f03356
プラグインの詳細
深刻度: Medium
ID: 44400
ファイル名: squid_auth_header_dos.nasl
バージョン: 1.12
タイプ: remote
ファミリー: Firewalls
公開日: 2010/2/5
更新日: 2018/11/15
設定: パラノイドモードの有効化
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.6
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 3.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
脆弱性情報
CPE: cpe:/a:squid-cache:squid
必要な KB アイテム: Settings/ParanoidReport, www/squid
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2009/9/6
脆弱性公開日: 2008/12/2
参照情報
CVE: CVE-2009-2855
BID: 36091