Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の squid

medium Nessus プラグイン ID 64960

Language:

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

Squid Cache Manager が特定のリクエストを処理する方法に、サービス拒否の欠陥が見つかりました。Cache Manager CGI にアクセスできるリモートの攻撃者はこの欠陥を利用して、Squid に過剰な量のメモリを消費させる可能性があります。(CVE-2012-5643)

この更新は以下のバグも修正します：

- ConnStateData::noteMoreBodySpaceAvailable() 関数のバグにより、Squid の子プロセスが、アサーションが失敗した際に終了しました。上流パッチが提供され、Squid の子プロセスは終了しなくなりました。

- 持続的な接続をコントロールする HTTP ヘッダーの名前を「Proxy-Connection」から「Connection」へ変更する Upstream パッチにより、NTLM パススルー認証が動作しなくなり、ログインが妨げられます。この更新では、新しい「http 10」オプションが squid.conf ファイルに追加され、これを使用してパッチ内の変更を有効化することができます。このオプションはデフォルトでは「オフ」に設定されています。
「オン」に設定すると、NTLM パススルー認証が正しく動作し、これによりログイン試行が成功するようになります。

- IPv6 プロトコルが無効化され、Squid が IPv6 アドレスが含まれる HTTP GET リクエストの処理を試行すると、Squid 子プロセスがシグナル 6 によって終了しました。このバグは修正され、そのようなリクエストが期待通り処理されるようになりました。

- 古い「stale if hit」ロジックが、保存されている古い応答が、元のサーバーとの再検証に成功したことにより新しくなる場合を考慮していませんでした。
結果として、不適切な警告メッセージが返されました。
現在では、Squid は上記のシナリオにおいて要素を古いものとしてマークしなくなりました。

- squid パッケージが samba-winbind の前にインストールされた場合、wbpriv グループに Squid が含まれませんでした。結果として、NTLM 認証呼び出しが失敗しました。samba-winbind が Squid の前にインストールされた場合、Squid は自身を wbpriv グループに適切に追加するようになったことで、このバグが修正されました。

- FIPS モードで、Squid が、プライベート MD5 ハッシュ関数を使用してユーザー認証およびネットワークアクセスを行っていました。MD5 は FIPS モードとの互換性がないため、 Squid は起動できない場合があります。
この更新では、ローカルディスクファイルのハッシュ識別子に対するプライベート MD5 関数の使用を制限するため、 Squid が FIPS モードで動作できるようになります。

- システムの負荷が高い状態では、squid プロセスが再起動中にセグメンテーション違反で予期せずに終了することがあります。この更新は再起動中のメモリ処理を改善することで、このバグを修正しています。

- Squid は、サーバー側接続の値でクライアント HTTP 接続のタイムアウト制限を不適切に設定しています。この値はより高いため、不要な遅れが生じます。
この更新によって、Squid は、適切なクライアントタイムアウト制限値を使用するようになります。

- エラーページコンテンツを生成する際、Squid が割り当てられたメモリを適切にリリースしないため、メモリリークが発生していました。結果として、 Squid プロキシサーバーは、短期間で多くのメモリを消費していました。この更新では、このメモリリークを修正しています。

- Squid は、「url_rewrite_program」ディレクティブを使用して構成された URL リライターに ident 値を渡しませんでした。結果として、URL リライターは、適切なユーザー名の代わりにユーザー値としてダッシュ文字（「–」）を受信していました。現在、URL リライターは、上記のシナリオで適切なユーザー名を受信するようになりました。

- 透過型プロキシとして使用される Squid は、HTTP プロトコルのみを処理できます。以前は、アクセスプロトコルにアスタリスク文字（*）または不明なプロトコル名前空間 URI が含まれる URL を定義することが可能でした。
結果として、リロード中に、「Invalid URL（無効な URL）」エラーメッセージが access.log に記録されました。この更新では、「http://」が透過型プロキシで常に使用されるようになるため、このシナリオでエラーメッセージが記録されることはなくなります。

この更新のインストール後、squid サービスは自動的に再起動します。