Squid セキュリティアドバイザリ 2015:1 レポート：

client-first SSL-bump で構成された Squid は、X509 サーバー証明書ドメイン/ホスト名フィールドを適切に検証しません。

このバグにより、リモートのサーバーはクライアント証明書検証をバイパスできるため、これは重要です。一部の攻撃者は、関連していないドメインを不正使用するためにグローバル認証局により署名された 1 つのドメインに対して有効な証明書を使用することができます。

ただし、このバグは、「client-first」または「bump」モードの操作で SSL Bumping を実行するために Squid を構成した場合にのみ悪用できます。

SSL-Bump を使用しないサイトは、脆弱ではありません。

SSL サポートなしで構築された Squid すべては、この問題に脆弱ではありません。

FreeBSD ポートはデフォルトで SSL を使用しないため、デフォルト構成では脆弱ではありません。

Squid が更新され、セキュリティの問題が修正されました。

Squid HTTP Proxy が client-first モードの SSL Bump で構成された場合、サーバーの証明書を正しく検証しません。(CVE-2015-3455)

クライアントファーストの SSL バンプで構成された Squid が、X.509 サーバー証明書のホスト名フィールドを適切に検証していなかったことがわかりました。中間者攻撃者がこの欠陥を利用して、特別に細工された X.509 証明書を使用する Squid サーバーを偽装する可能性があります。(CVE-2015-3455)

この更新は次のバグを修正します :

- 以前、squid プロセスは Simple Network Management Protocol（SNMP）のリクエストを受信する際、ファイルの記述子を適切に処理していませんでした。その結果、プロセスは開いたままのファイル記述子を漸進的に蓄積しました。
 このバグは修正され、squid は SNMP リクエストを適切に処理し、必要に応じてファイル記述子を閉じるようになりました。

- システムが高負荷状態な場合、squid プロセスが再起動中にセグメンテーション違反で予期せず終了することがありました。この更新は再起動中のメモリ処理を改善することで、このバグを修正しています。

この更新のインストール後、squid サービスは自動的に再起動します。

更新 squid パッケージは、セキュリティの脆弱性を修正します。

client-first SSL-bump で構成された Squid は、X509 サーバー証明書ドメイン/ホスト名フィールドを適切に検証しません（CVE-2015-3455）。

Squid HTTP プロキシは、バージョン 3.3.14 に更新され、次のセキュリティ問題を修正しました：

- HTTP 応答処理における複数のサービス拒否問題を修正しました。（CVE-2016-2569、CVE-2016-2570、CVE-2016-2571、CVE-2016-2572、bsc#968392、bsc#968393、bsc#968394、bsc#968395）

- CVE-2016-3947：pinger ICMPv6 処理におけるバッファオーバーランの問題。（bsc#973782）

- CVE-2015-5400：代替パスの不適切な保護。
 （bsc#938715）

- CVE-2015-3455：Squid HTTP プロキシが client-first モードの SSL Bump で構成された場合、サーバーの証明書を適切に検証しませんでした。（bsc#929493）

- CVE-2016-3948：HTTP 応答処理におけるサービス拒否を修正しました（bsc#973783）

- CVE-2016-4051：cachemgr.cgi のバッファオーバーフローを修正します（bsc#976553）

- CVE-2016-4052、CVE-2016-4053、CVE-2016-4054：ESI 処理における複数の問題を修正しました（bsc#976556）

- CVE-2016-4553：HTTP リクエスト処理におけるキャッシュポイズニングの問題を修正しました（bsc#979009）

- CVE-2016-4554：HTTP リクエスト処理におけるヘッダースマグリングの問題を修正しました（bsc#979010）

- ESI 応答処理における複数のサービス拒否問題を修正しました。（CVE-2016-4555、CVE-2016-4556、bsc#979011、bsc#979008）さらに、次のセキュリティ以外の問題が修正されています：

- unsquid.pl スクリプトのヘッダーサイズを修正します。（bsc#902197）

- 外部ヘルパー ext_session_acl をパッケージに追加します。
 （bsc#959290）

- forward_max_tries を更新して、25 のサーバーパスを許可します クラウドサービスサイトの人気の高まりにより、IPv6 および IPv4 アドレスの長いリストを作成する CDN サーバーが増加しています。十分な数のパスが選択されていない場合、IPv4 アドレスにたどり着けない可能性があります。

- squid.init：アップグレードの際に squid を kill する場合、事前に廃止を公表する代わりに squid が実際に廃止されるまで待ちます（bnc#963539）

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

1 つのセキュリティの問題と 2 つのバグを修正する更新済みの squid パッケージが、Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Squid は Web クライアント向けの高性能プロキシキャッシュサーバーであり、 FTP、Gopher および HTTP データオブジェクトをサポートします。

クライアントファーストの SSL バンプで構成された Squid が、X.509 サーバー証明書のホスト名フィールドを適切に検証していなかったことがわかりました。中間者攻撃者がこの欠陥を利用して、特別に細工された X.509 証明書を使用する Squid サーバーを偽装する可能性があります。(CVE-2015-3455)

この更新は次のバグを修正します :

* 以前、squid プロセスは Simple Network Management Protocol （SNMP）のリクエストを受信する際、ファイルの記述子を適切に処理していませんでした。その結果、プロセスは開いたままのファイル記述子を漸進的に蓄積しました。このバグは修正され、squid は SNMP リクエストを適切に処理し、必要に応じてファイル記述子を閉じるようになりました。
（BZ#1198778）

* システムが高負荷状態な場合、squid プロセスが再起動中にセグメンテーション違反で予期せず終了することがありました。この更新は再起動中のメモリ処理を改善することで、このバグを修正しています。
（BZ#1225640）

squid のユーザーは、これらの更新済みのパッケージへアップグレードし、これらのバグを修正することが推奨されます。この更新のインストール後、squid サービスは自動的に再起動します。

Squid HTTP プロキシは、バージョン 3.3.14 に更新され、次のセキュリティ問題を修正しました：

- HTTP 応答処理における複数のサービス拒否問題を修正しました。（CVE-2016-2569、CVE-2016-2570、CVE-2016-2571、CVE-2016-2572、bsc#968392、bsc#968393、bsc#968394、bsc#968395）

- CVE-2016-3947：pinger ICMPv6 処理におけるバッファオーバーランの問題。（bsc#973782）

- CVE-2015-5400：代替パスの不適切な保護。
 （bsc#938715）

- CVE-2015-3455：Squid HTTP プロキシが client-first モードの SSL Bump で構成された場合、サーバーの証明書を適切に検証しませんでした。（bsc#929493）

- CVE-2016-3948：HTTP 応答処理におけるサービス拒否を修正しました（bsc#973783）

- CVE-2016-4051：cachemgr.cgi のバッファオーバーフローを修正します（bsc#976553）

- CVE-2016-4052、CVE-2016-4053、CVE-2016-4054：ESI 処理における複数の問題を修正しました（bsc#976556）

- CVE-2016-4553：HTTP リクエスト処理におけるキャッシュポイズニングの問題を修正しました（bsc#979009）

- CVE-2016-4554：HTTP リクエスト処理におけるヘッダースマグリングの問題を修正しました（bsc#979010）

- ESI 応答処理における複数のサービス拒否問題を修正しました。（CVE-2016-4555、CVE-2016-4556、bsc#979011、bsc#979008）

また、以下の非セキュリティ問題も修正されました：

- unsquid.pl スクリプトのヘッダーサイズを修正します。（bsc#902197）

- 外部ヘルパー ext_session_acl をパッケージに追加します。
 （bsc#959290）

- forward_max_tries を更新して、25 のサーバーパスを許可します クラウドサービスサイトの人気の高まりにより、IPv6 および IPv4 アドレスの長いリストを作成する CDN サーバーが増加しています。十分な数のパスが選択されていない場合、IPv4 アドレスにたどり着けない可能性があります。

- squid.init：アップグレードの際に squid を kill する場合、事前に廃止を公表する代わりに squid が実際に廃止されるまで待ちます（bnc#963539）

この更新は、SUSE:SLE-12 からインポートされました：更新プロジェクトを更新します。

バナーによると、リモートホストで実行中の Squid のバージョンは、3.2.14/3.3.14/3.4.13/3.5.4 より前の 3.2 です。このため、証明書の検証に関連する欠陥の影響を受けます。これは、サーバーのホスト名が、証明書のサブジェクトのコモンネーム（CN）フィールドまたは SubjectAltName フィールドのドメイン名と一致していることが検証されないことが原因です。中間者攻撃の攻撃者がこれを利用して、細工された証明書を使用することで、TLS/SSL サーバーになりすますことができるため、傍受したデータの漏洩または操作が可能になります。注意：この欠陥を悪用できるのは、SSL Bumping を「client-first」または「bump」の操作モードで実行するように　Squid が構成された場合のみです。

Nessus は、この問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。この問題に対処するためにリリースされたパッチでは、バナーのバージョンは更新されません。このパッチが適切に適用され、サービスが再起動された場合には、これが偽陽性であると見なしてください。

Red Hat セキュリティアドバイザリ 2015:2378 から：

1 つのセキュリティの問題と 2 つのバグを修正する更新済みの squid パッケージが、Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Squid は Web クライアント向けの高性能プロキシキャッシュサーバーであり、 FTP、Gopher および HTTP データオブジェクトをサポートします。

クライアントファーストの SSL バンプで構成された Squid が、X.509 サーバー証明書のホスト名フィールドを適切に検証していなかったことがわかりました。中間者攻撃者がこの欠陥を利用して、特別に細工された X.509 証明書を使用する Squid サーバーを偽装する可能性があります。(CVE-2015-3455)

この更新は次のバグを修正します :

* 以前、squid プロセスは Simple Network Management Protocol （SNMP）のリクエストを受信する際、ファイルの記述子を適切に処理していませんでした。その結果、プロセスは開いたままのファイル記述子を漸進的に蓄積しました。このバグは修正され、squid は SNMP リクエストを適切に処理し、必要に応じてファイル記述子を閉じるようになりました。
（BZ#1198778）

* システムが高負荷状態な場合、squid プロセスが再起動中にセグメンテーション違反で予期せず終了することがありました。この更新は再起動中のメモリ処理を改善することで、このバグを修正しています。
（BZ#1225640）

squid のユーザーは、これらの更新済みのパッケージへアップグレードし、これらのバグを修正することが推奨されます。この更新のインストール後、squid サービスは自動的に再起動します。

CVE-2016-2571、CVE-2016-2572 のセキュリティ修正 ---- squid-3.4.13-3.fc22
- 解決： #1231992 ---- #1240741、#1240744 のセキュリティ修正。CVE-2015-3455 を修正するバージョン 3.4.13 へ更新済み

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
84555	FreeBSD：squid -- client-first SSL-bump は、X509 サーバー証明書を適切に検証しません（b6da24da-23f7-11e5-a4a5-002590263bf5）	Nessus	FreeBSD Local Security Checks	2015/7/7	2021/1/6	low
85927	openSUSE セキュリティ更新：squid（openSUSE-2015-581）	Nessus	SuSE Local Security Checks	2015/9/14	2021/1/19	low
87574	Scientific Linux セキュリティ更新：SL7.x x86_64 の squid	Nessus	Scientific Linux Local Security Checks	2015/12/22	2021/1/14	low
83276	Mandriva Linux セキュリティアドバイザリ：Squid（MDVSA-2015:230）	Nessus	Mandriva Local Security Checks	2015/5/7	2021/1/14	low
93279	SUSE SLES12 セキュリティ更新： squid （SUSE-SU-2016：2008-1）	Nessus	SuSE Local Security Checks	2016/9/2	2021/1/6	high
87154	CentOS 7：squid（CESA-2015:2378）	Nessus	CentOS Local Security Checks	2015/12/2	2021/1/4	low
92994	openSUSE セキュリティ更新：squid（openSUSE-2016-988）	Nessus	SuSE Local Security Checks	2016/8/17	2021/1/19	high
83529	Squid 3.2 < 3.5.4 X509 サーバー証明書の不適切な検証の脆弱性	Nessus	Firewalls	2015/5/19	2019/11/22	low
86986	RHEL 7：squid（RHSA-2015:2378）	Nessus	Red Hat Local Security Checks	2015/11/20	2019/10/24	low
87037	Oracle Linux 7：squid（ELSA-2015-2378）	Nessus	Oracle Linux Local Security Checks	2015/11/24	2021/1/14	low
90960	Fedora 22：libecap-1.0.0-1.fc22 / squid-3.5.10-1.fc22（2016-7b40eb9e29）	Nessus	Fedora Local Security Checks	2016/5/9	2021/1/11	medium

検出

プラグインの検索

low

low

low

low

high

low

high

low

low

low

medium