Security Fix(es) :

  - A buffer overflow flaw was found in the way the Squid     cachemgr.cgi utility processed remotely relayed Squid     input. When the CGI interface utility is used, a remote     attacker could possibly use this flaw to execute     arbitrary code. (CVE-2016-4051)

  - Buffer overflow and input validation flaws were found in     the way Squid processed ESI responses. If Squid was used     as a reverse proxy, or for TLS/HTTPS interception, a     remote attacker able to control ESI components on an     HTTP server could use these flaws to crash Squid,     disclose parts of the stack memory, or possibly execute     arbitrary code as the user running Squid.
    (CVE-2016-4052, CVE-2016-4053, CVE-2016-4054)

  - An input validation flaw was found in the way Squid     handled intercepted HTTP Request messages. An attacker     could use this flaw to bypass the protection against     issues related to CVE-2009-0801, and perform cache     poisoning attacks on Squid. (CVE-2016-4553)

  - An input validation flaw was found in Squid's     mime_get_header_field() function, which is used to     search for headers within HTTP requests. An attacker     could send an HTTP request from the client side with     specially crafted header Host header that bypasses     same-origin security protections, causing Squid     operating as interception or reverse-proxy to contact     the wrong origin server. It could also be used for cache     poisoning for client not following RFC 7230.
    (CVE-2016-4554)

  - A NULL pointer dereference flaw was found in the way     Squid processes ESI responses. If Squid was used as a     reverse proxy or for TLS/HTTPS interception, a malicious     server could use this flaw to crash the Squid worker     process. (CVE-2016-4555)

  - An incorrect reference counting flaw was found in the     way Squid processes ESI responses. If Squid is     configured as reverse-proxy, for TLS/HTTPS interception,     an attacker controlling a server accessed by Squid,     could crash the squid worker, causing a Denial of     Service attack. (CVE-2016-4556)

安全性修正：

- 在 Squid cachemgr.cgi 公用程式處理遠端轉送 Squid 輸入的方式中，發現一個緩衝區溢位瑕疵。使用 CGI 介面公用程式時，遠端攻擊者可能利用此瑕疵執行任意程式碼。(CVE-2016-4051)

- 在 Squid 處理 ESI 回應的方式中發現緩衝區溢位和輸入驗證瑕疵。若將 Squid 作為反向代理伺服器使用，或用於 TLS/HTTPS 攔截，可控制 HTTP 伺服器上之 ESI 元件的遠端攻擊者可利用這些瑕疵損毀 Squid、洩漏部分堆疊記憶體，或可能以執行 Squid 的使用者身分執行任意程式碼。
 (CVE-2016-4052、CVE-2016-4053、CVE-2016-4054)

- 在 Squid 處理遭攔截 HTTP 要求訊息的方式中發現一個輸入驗證瑕疵。攻擊者可利用此瑕疵繞過對與 CVE-2009-0801 相關問題的保護，並對 Squid 執行快取毒害攻擊。(CVE-2016-4553)

- 在 Squid 的 mime_get_header_field() 函式中發現一個輸入驗證瑕疵，該函式用於搜尋 HTTP 要求中的標頭。攻擊者可使用特製的標頭 Host 標頭從用戶端傳送 HTTP 要求，其會繞過相同來源安全性保護，造成 Squid 以攔截或反向代理伺服器的方式運作，進而聯絡錯誤的來源伺服器。其也可針對不遵循 RFC 7230 的用戶端用於快取毒害。
 (CVE-2016-4554)

- 在 Squid 處理 ESI 回應的方式中發現一個 NULL 指標解除參照瑕疵。如果 Squid 作為反向代理伺服器使用，或用於 TLS/HTTPS 攔截，惡意伺服器可利用此瑕疵損毀 Squid 背景工作處理程序。(CVE-2016-4555)

- 在 Squid 處理 ESI 回應的方式中發現一個錯誤參照計數瑕疵。若將 Squid 設定為反向代理伺服器，針對 TLS/HTTPS 攔截，控制 Squid 所存取之伺服器的攻擊者可損毀 squid 背景工作，造成拒絕服務攻擊。(CVE-2016-4556)

安全补丁：

- 在 Squid cachemgr.cgi 实用工具处理远程中继 Squid 输入的方式中发现一个缓冲区溢出缺陷。使用 CGI 接口实用工具时，远程攻击者可能利用此缺陷执行任意代码。(CVE-2016-4051)

- 在 Squid 处理 ESI 响应的方式中发现缓冲区溢出和输入验证缺陷。若将 Squid 作为反向代理使用，或用于 TLS/HTTPS 拦截，可控制 HTTP 服务器上的 ESI 组件的远程攻击者可利用这些缺陷使 Squid 崩溃、泄露部分堆栈内存，或可能以运行 Squid 的用户权限执行任意代码。
 （CVE-2016-4052、CVE-2016-4053、CVE-2016-4054）

- 在 Squid 处理遭拦截的 HTTP 请求消息的方式中发现一个输入验证缺陷。攻击者可利用此缺陷绕过对与 CVE-2009-0801 相关问题的保护，并对 Squid 执行缓存中毒攻击。(CVE-2016-4553)

- 在 Squid 的 mime_get_header_field() 函数中发现一个输入验证缺陷，该函数用于搜索 HTTP 请求中的标头。攻击者可使用特别构建的标头 Host 标头从客户端发送 HTTP 请求，其会绕过同源安全保护，造成 Squid 以拦截或反向代理的方式运作，进而联系错误的来源服务器。对于不遵循 RFC 7230 的客户端，其也可用于缓存中毒。
 (CVE-2016-4554)

- 在 Squid 处理 ESI 响应的方式中发现一个空指针取消引用缺陷。如果 Squid 作为反向代理使用，或用于 TLS/HTTPS 拦截，恶意服务器可利用此缺陷使 Squid 工作进程崩溃。(CVE-2016-4555)

- 在 Squid 处理 ESI 响应的方式中发现一个错误参考计数缺陷。若将 Squid 配置为反向代理，对于 TLS/HTTPS 拦截，控制 Squid 所访问的服务器的攻击者可使 squid 工作崩溃，造成拒绝服务攻击。(CVE-2016-4556)

セキュリティ修正：

- Squid cachemgr.cgi ユーティリティがリモートに中継された Squid の入力を処理する方法で、バッファオーバーフローの欠陥が見つかりました。CGI インターフェイスユーティリティの使用時、リモートの攻撃者がこの欠陥を利用して任意のコードを実行する可能性があります。（CVE-2016-4051）

- Squid が ESI 応答を処理する方法に、バッファオーバーフローと入力検証の欠陥が見つかりました。Squid がリバースプロキシとして、または TLS/HTTPS 傍受のために使用された場合、HTTP サーバーの ESI コンポーネントをコントロールできるリモートの攻撃者がこれらの欠陥を利用して、Squid をクラッシュさせたり、スタックメモリの一部を漏洩させたり、Squid を実行しているユーザーとして任意のコードを実行する可能性があります。
 （CVE-2016-4052、 CVE-2016-4053、CVE-2016-4054）

- Squid が傍受された HTTP リクエストメッセージを処理する方法に、入力検証の欠陥が見つかりました。攻撃者がこの欠陥を利用して、CVE-2009-0801 に関連する問題に対する保護をバイパスし、Squid にキャッシュポイズニング攻撃を実行する可能性があります。（CVE-2016-4553）

- Squid の mime_get_header_field() 関数に入力検証の欠陥が見つかりました。この関数は、HTTP リクエスト内のヘッダーの検索に使用されます。攻撃者が、同一生成元セキュリティ保護をバイパスする特別に細工されたヘッダーである Host ヘッダーを持つ HTTP リクエストをクライアント側から送信し、Squid を傍受またはリバースプロキシとして機能させて間違った生成元のサーバーと接続させる可能性があります。これは、RFC 7230 に従っていないクライアントに対するキャッシュポイズニングに利用される可能性もあります。
 （CVE-2016-4554）

- Squid が ESI 応答を処理する方法に、NULL ポインターデリファレンスの欠陥が見つかりました。Squid がリバースプロキシとして、または TLS/HTTPS 傍受のために使用された場合、悪意のあるサーバーがこの欠陥を利用して、Squid ワーカープロセスをクラッシュさせる可能性があります。（CVE-2016-4555）

- Squid が ESI 応答を処理する方法に、不正確な参照カウントの欠陥が見つかりました。Squid がリバースプロキシとして、または TLS/HTTPS 傍受のために構成された場合、Squid がアクセスするサーバーをコントロールする攻撃者が、squid ワーカーをクラッシュさせ、DoS 攻撃（サービス拒否攻撃）を実行する可能性があります。（CVE-2016-4556）

リモートホストは、GLSA-201309-22 で説明されている脆弱性の影響を受けます（Squid：複数の脆弱性）

Squid に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、ACL 制限をバイパスしたり、サービス拒否状態を引き起こしたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

The remote host is affected by the vulnerability described in GLSA-201309-22 (Squid: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Squid. Please review       the CVE identifiers referenced below for details.
  Impact :

    A remote attacker may be able to bypass ACL restrictions or cause a       Denial of Service condition.
  Workaround :

    There is no known workaround at this time.

远程主机受到 GLSA-201309-22 中所述漏洞的影响（Squid：多个漏洞）

    已在 Squid 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可绕过 ACL 限制或造成拒绝服务情况。
  变通方案：

    目前无任何已知的变通方案。

遠端主機受到 GLSA-201309-22 中所述的弱點影響 (Squid：多個弱點)

    在 Squid 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者或許能夠繞過 ACL 限制，或造成拒絕服務情形。
  因應措施：

    目前尚無已知的因應措施。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
91645	Scientific Linux Security Update : squid34 on SL6.x i386/x86_64 (20160531)	Nessus	Scientific Linux Local Security Checks	2016/6/17	2021/1/14	high
91645	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 squid34	Nessus	Scientific Linux Local Security Checks	2016/6/17	2021/1/14	high
91645	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 squid34	Nessus	Scientific Linux Local Security Checks	2016/6/17	2021/1/14	high
91645	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の squid34	Nessus	Scientific Linux Local Security Checks	2016/6/17	2021/1/14	high
91513	Scientific Linux セキュリティ更新：SL7.x x86_64 の squid	Nessus	Scientific Linux Local Security Checks	2016/6/8	2021/1/14	high
70182	GLSA-201309-22：Squid：複数の脆弱性	Nessus	Gentoo Local Security Checks	2013/9/28	2021/1/6	high
91513	Scientific Linux Security Update : squid on SL7.x x86_64 (20160531)	Nessus	Scientific Linux Local Security Checks	2016/6/8	2021/1/14	high
70182	GLSA-201309-22 : Squid: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2013/9/28	2021/1/6	high
91513	Scientific Linux 安全更新：SL7.x x86_64 中的 squid	Nessus	Scientific Linux Local Security Checks	2016/6/8	2021/1/14	high
70182	GLSA-201309-22 : Squid：多个漏洞	Nessus	Gentoo Local Security Checks	2013/9/28	2021/1/6	high
91513	Scientific Linux 安全性更新：SL7.x x86_64 上的 squid	Nessus	Scientific Linux Local Security Checks	2016/6/8	2021/1/14	high
70182	GLSA-201309-22 : Squid：多個弱點	Nessus	Gentoo Local Security Checks	2013/9/28	2021/1/6	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high

high