SQUID-2023:11 缓存管理器中的拒绝服务 (CVE-2024-23638)

CVE编号

CVE-2024-23638

利用情况

暂无

补丁情况

N/A

披露时间

2024-01-24

漏洞描述

Squid 在版本6.6之前由于一个过期的指针引用漏洞存在漏洞，允许进行针对 Cache Manager 错误响应的拒绝服务攻击。该问题允许受信任的客户端在生成 Client Manager 报告的错误页面时执行拒绝服务。未测试过 Squid 5.0.5 之前的版本，应假定存在漏洞。所有 Squid-5.x 包括 5.9 版本均存在漏洞。所有 Squid-6.x 包括 6.5 版本均存在漏洞。该漏洞已在 Squid 版本6.6 中修复。此外，针对稳定版本解决此问题的补丁可以在 Squid 的补丁存档中找到。作为解决方法，通过 Squid 的主访问控制防止访问 Cache Manager：`http_access deny manager`。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
http://www.squid-cache.org/Versions/v5/SQUID-2023_11.patch
http://www.squid-cache.org/Versions/v6/SQUID-2023_11.patch
https://github.com/squid-cache/squid/commit/290ae202883ac28a48867079c2fb34c40efd382b
https://github.com/squid-cache/squid/commit/e8118a7381213f5cfcdeb4cec1d2d854bfd261c8
https://github.com/squid-cache/squid/security/advisories/GHSA-j49p-553x-48rx
https://megamansec.github.io/Squid-Security-Audit/stream-assert.html

CVSS3评分 6.5

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 无
• 完整性 无

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

CWE-ID	漏洞类型
CWE-825	无效指针解引用

Exp相关链接

- avd.aliyun.com