FreeBSD：squid -- client-first SSL-bump は、X509 サーバー証明書を適切に検証しません（b6da24da-23f7-11e5-a4a5-002590263bf5）

low Nessus プラグイン ID 84555

Language:

概要

リモート FreeBSD ホストに 1 つ以上のセキュリティ関連の更新が見つかりません。

説明

Squid セキュリティアドバイザリ 2015:1 レポート：

client-first SSL-bump で構成された Squid は、X509 サーバー証明書ドメイン/ホスト名フィールドを適切に検証しません。

このバグにより、リモートのサーバーはクライアント証明書検証をバイパスできるため、これは重要です。一部の攻撃者は、関連していないドメインを不正使用するためにグローバル認証局により署名された 1 つのドメインに対して有効な証明書を使用することができます。

ただし、このバグは、「client-first」または「bump」モードの操作で SSL Bumping を実行するために Squid を構成した場合にのみ悪用できます。

SSL-Bump を使用しないサイトは、脆弱ではありません。

SSL サポートなしで構築された Squid すべては、この問題に脆弱ではありません。

FreeBSD ポートはデフォルトで SSL を使用しないため、デフォルト構成では脆弱ではありません。