2 つのセキュリティ問題といくつかのバグを修正する更新済みの squid パッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Squid は Web クライアント向けの高性能プロキシキャッシュサーバーであり、 FTP、Gopher および HTTP データオブジェクトをサポートします。

コンマではなく区切り文字を含む、特定の外部 ACL ヘルパー HTTP ヘッダーフィールドを Squid が処理する方法に欠陥が見つかりました。リモートの攻撃者が細工したリクエストを Squid サーバーに発行し、過度な CPU 使用率（最大 100%）を引き起こす可能性があります。（CVE-2009-2855）

注：CVE-2009-2855 の問題は、外部 ACL ヘルパースクリプトを使用する、デフォルト設定でない構成にのみ影響を与えました。

Squid が切り捨てられた DNS 応答を処理する方法に欠陥が見つかりました。リモートの攻撃者が、特別に細工された UDP パケットを Squid の DNS クライアントポートに送信できた場合、Squid の子プロセスにおけるアサーションエラーがトリガーされ、子プロセスが終了する可能性があります。（CVE-2010-0308）

この更新は以下のバグも修正します：

* Squid の init スクリプトは、停止状態のサービスを停止しようとする際に、ゼロではない値を返します。これは LSB に準拠しておらず、クラスター環境で問題が生じる可能性があります。この更新では、LSB 準拠が失われます。（BZ#521926）

* Squid は現在、ACL で MAC アドレスフィルタリングをサポートするように構築されていません。この更新には、MAC アドレスフィルタリングのサポートが含まれています。
（BZ#496170）

* Squid は現在、Kerberos ネゴシエート認証をサポートするようにビルドされていません。この更新では、Kerberos 認証が有効になります。
（BZ#516245）

* Squid には、アクセラレータとして構成される場合に、作り上げる URI の一部としてのポート番号が含まれていません。これにより 403 エラーが生じます。この更新では、この動作を修正しています。（BZ#538738）

* error_map 機能は、デフレートモードで稼働する HTTP サーバーでも同じ処理が設定されている場合は動作しません。この更新により、前述の問題が修正されます。（BZ#470843）

squid の全ユーザーは、この更新済みパッケージにアップグレードし、これらの問題を解決する必要があります。この更新のインストール後、squid サービスは自動的に再起動します。

検出

RHEL 5：squid（RHSA-2010:0221）

medium Nessus プラグイン ID 46285

変更ログが見つかりません