Squid
Уязвимости
26
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.95785
Распределение по критичности
Критический
2
Высокий
13
Средний
11
Низкий
0
Также сопоставлено как (исходные строки): squid
Топ уязвимостей
CVE-2025-54574Squid - это кэширующий прокси-сервер для Web. В версиях 6.3 и ниже Squid уязвим к переполнению кучи и возможной атаке удаленного выполнения кода при обработке URN из-за неправильного управления буфером. Исправление доступно в версии 6.4. В качестве обходного решения можно отключить разрешения на доступ к URN [1].
Источники:
- [1] https://github.com/squid-cache/squid/security/advisories/GHSA-w4gv-vmrw-574w
CVE-2023-46846SQUID уязвим для контрабанды HTTP-запросов, вызванной снисходительностью декодера чанков, что позволяет удаленному злоумышленнику осуществлять контрабанду запросов/ответов мимо брандмауэра и систем безопасности внешнего интерфейса.
CVE-2024-25617Squid - это открытый кэш-прокси для Web, поддерживающий HTTP, HTTPS, FTP и другие. Из-за ошибки Collapse of Data into Unsafe Value, Squid может быть уязвим к атаке Denial of Service против анализа HTTP-заголовков. Эта проблема позволяет удаленному клиенту или удаленному серверу выполнять Denial of Service, отправляя крупные заголовки в HTTP-сообщениях. В версиях Squid до 6.5 это можно добиться, если настройки request_header_max_size или reply_header_max_size не изменены с значений по умолчанию. В версии Squid 6.5 и позже параметры по умолчанию безопасны. Squid выдаст критическое предупреждение в cache.log, если администратор устанавливает эти параметры на небезопасные значения. В настоящее время Squid не будет предотвращать изменение этих настроек на небезопасные значения. Пользователям рекомендуется обновиться до версии 6.5. Известных обходных путей для этой уязвимости нет. Эта проблема также отслеживается как SQUID-2024:2.
CVE-2024-25111Squid — это кэш-прокси для веба. Начиная с версии 3.5.27 и до версии 6.8, Squid может быть уязвим к атаке отказа в обслуживании на декодер HTTP Chunked из-за ошибки неконтролируемой рекурсии. Эта проблема позволяет удаленному злоумышленнику вызвать отказ в обслуживании, отправив специально созданное закодированное HTTP-сообщение с частями. Эта ошибка исправлена в версии Squid 6.8. Кроме того, патчи, решающие эту проблему для стабильных сборок, можно найти в архиве патчей Squid. Решений для этой проблемы не существует.
CVE-2023-46848Squid уязвим для отказа в обслуживании, когда удаленный злоумышленник может выполнить DoS, отправляя URL-адреса ftp:// в сообщениях HTTP-запроса или создавая URL-адреса ftp:// из собственного ввода FTP.
CVE-2023-46847Squid уязвим для отказа в обслуживании, когда удаленный злоумышленник может выполнить атаку переполнения буфера, записывая до 2 МБ произвольных данных в кучу памяти, когда Squid настроен на принятие HTTP Digest Authentication.
CVE-2022-41318Обнаружено переполнение буфера при чтении в libntlmauth в Squid 2.5 - 5.6. Из-за некорректной защиты от переполнения целых чисел вспомогательные средства аутентификации SSPI и SMB уязвимы для чтения непреднамеренных областей памяти. В некоторых конфигурациях учетные данные в виде открытого текста из этих мест отправляются клиенту. Это исправлено в версии 5.7.
CVE-2025-62168Squid - это кэшинг прокси для Интернета. В версиях Squid до 7.2 отказ отредактировать учетные данные HTTP-аутентификации при обработке ошибок позволяет раскрывать информацию. Уязвимость позволяет скрипту обходить защиту безопасности браузера и изучать учетные данные, которые доверенный клиент использует для аутентификации. Это потенциально позволяет удаленному клиенту идентифицировать токены безопасности или учетные данные, используемые внутри веб-приложения с использованием Squid для балансировки бэкэнд-нагрузки. Эти атаки не требуют настройки Squid с помощью HTTP-аутентификации. Уязвимость исправлена в версии 7.2. В качестве обходного действия отключите информацию об отладке в адрес администратора ссылках, генерируемых Squid, путем настройки squid.conf с email_err_data off.
CVE-2023-50269Squid — это прокси-кэш для Интернета. Из-за ошибки неконтролируемой рекурсии в версиях с 2.6 по 2.7.STABLE9, версиях с 3.1 по 5.9 и версиях с 6.0.1 по 6.5, Squid может быть уязвим к атаке отказа в обслуживании на этапе анализа HTTP-запросов. Эта проблема позволяет удалённому клиенту выполнить атаку отказа в обслуживании, отправив большой заголовок X-Forwarded-For, когда функция follow_x_forwarded_for настроена. Эта ошибка исправлена в версии Squid 6.6. В дополнение к этому, патчи, которые решают эту проблему для стабильных версий, можно найти в архиве патчей Squid.
CVE-2023-49286Squid - это кэш-прокси для Интернета, поддерживающий HTTP, HTTPS, FTP и другие протоколы. Из-за ошибки некорректной проверки возвращаемого значения функции Squid уязвим для атаки типа «Отказ в обслуживании» против управления процессом помощника. Эта ошибка исправлена в версии 6.5. Пользователям рекомендуется обновиться. Известных обходных путей для этой уязвимости нет.
CVE-2023-49285Squid - это кэш-прокси для Интернета, поддерживающий HTTP, HTTPS, FTP и другие протоколы. Из-за ошибки переполнения буфера Squid уязвим для атаки типа «Отказ в обслуживании» против обработки HTTP-сообщений Squid. Эта ошибка исправлена в версии 6.5. Пользователям рекомендуется обновиться. Известных обходных путей для этой уязвимости нет.
CVE-2023-46728Squid является кэширующим прокси для Интернета, который поддерживает HTTP, HTTPS, FTP и другие протоколы. Из-за ошибки разыменования нулевого указателя Squid уязвим для атаки типа "отказ в обслуживании" против шлюза Gopher Squid. Протокол gopher всегда доступен и включен в Squid до версии 6.0.1. Ответы, вызывающие эту ошибку, могут поступать от любого сервера gopher, даже от тех, которые не имеют злонамеренных намерений. Поддержка gopher была удалена в версии Squid 6.0.1. Пользователям рекомендуется обновиться. Пользователи, которые не могут обновить, должны отклонять все запросы URL gopher.
CVE-2023-46724Squid — это прокси-сервер кэширования для Интернета. Из-за ошибки неправильной проверки заданного индекса версии Squid 3.3.0.1 до 5.9 и 6.0 до 6.4, скомпилированные с использованием `--with-openssl`, уязвимы к атаке типа Denial of Service против проверки SSL-сертификатов. Эта проблема позволяет удалённому серверу осуществлять атаку Denial of Service на прокси Squid, инициируя TLS-рукопожатие с неправильно составленным SSL-сертификатом в цепочке серверных сертификатов. Эта атака ограничена HTTPS и SSL-Bump. Эта ошибка исправлена в версии Squid 6.4. В дополнение к этому, патчи, устраняющие эту проблему для стабильных версий, можно найти в архиве патчей Squid. Тем, кто использует упакованную версию Squid, следует обратиться к поставщику пакета для получения информации о наличии обновлённых пакетов.
CVE-2021-46784В Squid 3.x до 3.5.28, 4.x до 4.17 и 5.x до 5.6 из-за неправильного управления буфером может произойти отказ в обслуживании при обработке длинных ответов сервера Gopher.
CVE-2021-28651Обнаружена проблема в Squid до версий 4.15 и 5.x до 5.0.6. Из-за ошибки управления буфером это позволяет вызвать отказ в обслуживании. При разрешении запроса со схемой urn: анализатор допускает небольшую утечку памяти. Однако существует неуказанная методология атаки, которая может легко вызвать большое потребление памяти.
CVE-2021-28652Обнаружена проблема в Squid до версий 4.15 и 5.x до 5.0.6. Из-за неправильной проверки анализатора это позволяет провести атаку типа «отказ в обслуживании» против API Cache Manager. Это позволяет доверенному клиенту вызывать утечки памяти, которые со временем приводят к отказу в обслуживании через неуказанную короткую строку запроса. Эта атака ограничена клиентами с правами доступа к API Cache Manager.
CVE-2024-23638Squid — это кэширующий прокси для Интернета. Из-за ошибки действия с недействительным указателем, Squid до версии 6.6 уязвим к атакам отказа в обслуживании против ответов об ошибках менеджера кэша. Эта проблема позволяет доверенному клиенту выполнять атаку отказа в обслуживании при генерации страниц ошибок для отчетов менеджера клиентов. Squid версии ниже 5.0.5 не тестировались и должны считаться уязвимыми. Все Squid-5.x до и включая 5.9 уязвимы. Все Squid-6.x до и включая 6.5 уязвимы. Данная ошибка исправляется в версии Squid 6.6. Кроме того, патчи, адресующие эту проблему для стабильных релизов, можно найти в архиве патчей Squid. В качестве обходного пути рекомендуется предотвратить доступ к менеджеру кэша, используя основное управление доступом Squid: `http_access deny manager`.
CVE-2022-41317Обнаружена проблема в Squid 4.9 - 4.17 и 5.0.6 - 5.6. Из-за непоследовательной обработки внутренних URI возможна утечка конфиденциальной информации о клиентах, использующих прокси-сервер, через HTTPS-запрос к URL-адресу внутреннего диспетчера кэша. Это исправлено в версии 5.7.
CVE-2021-33620Squid до версии 4.15 и 5.x до версии 5.0.6 позволяет удаленным серверам вызывать отказ в обслуживании (влияющий на доступность для всех клиентов) через HTTP-ответ. Триггером проблемы является заголовок, который, как можно ожидать, будет существовать в HTTP-трафике без каких-либо вредоносных намерений со стороны сервера.
CVE-2021-31808Проблема обнаружена в Squid до версий 4.15 и 5.x до 5.0.6. Из-за ошибки проверки ввода он уязвим для атак типа «отказ в обслуживании» (против всех клиентов, использующих прокси). Клиент отправляет HTTP-запрос Range, чтобы вызвать это.
CVE-2021-31807Проблема обнаружена в Squid до версий 4.15 и 5.x до 5.0.6. Проблема переполнения целого числа позволяет удаленному серверу добиться отказа в обслуживании при доставке ответов на HTTP-запросы Range. Триггером проблемы является заголовок, который, как можно ожидать, будет существовать в HTTP-трафике без каких-либо злонамеренных намерений.
CVE-2021-31806Проблема обнаружена в Squid до версий 4.15 и 5.x до 5.0.6. Из-за ошибки управления памятью он уязвим для атак типа «отказ в обслуживании» (против всех клиентов, использующих прокси) через обработку HTTP-запросов Range.
CVE-2021-28662Обнаружена проблема в Squid 4.x до 4.15 и 5.x до 5.0.6. Если удаленный сервер отправляет определенный заголовок ответа по протоколу HTTP или HTTPS, происходит отказ в обслуживании. Этот заголовок может правдоподобно встречаться в безобидном сетевом трафике.
CVE-2024-37894Squid является кэшированным прокси для Веба, поддерживающим HTTP, HTTPS, FTP и другое. Из-за ошибки переполнения при присвоении переменных ESI Squid подвержен ошибкам повреждения памяти. Эта ошибка может привести к атаке отказа в обслуживании.
CVE-2021-28116Squid до версий 4.14 и 5.x до 5.0.5, в некоторых конфигурациях, допускает раскрытие информации из-за чтения за пределами границ в данных протокола WCCP. Это можно использовать как часть цепочки для удаленного выполнения кода от имени nobody.