Debian dla-3709：squid - 安全性更新
medium Nessus Plugin ID 189095
語系：
概要
遠端 Debian 主機上缺少一個或多個安全性更新。說明
遠端 Debian 10 主機上安裝的多個套件受到 dla-3709 公告中提及的多個弱點影響。- Squid 是一種用於 Web 的快取代理伺服器，支援 HTTP、HTTPS、FTP 等。由於 NULL 指標解除參照錯誤，Squid 的 Gopher 閘道容易遭受拒絕服務攻擊。在 Squid 6.0.1 之前的 Squid 中，gopher 通訊協定一律可用且已啟用。觸發此錯誤的回應可從任何 gopher 伺服器接收，即使是無惡意意圖的伺服器。已在 Squid 版 6.0.1 中移除 Gopher 支援。建議所有使用者進行升級。無法升級的使用者應拒絕所有 gopher URL 要求。(CVE-2023-46728)
- SQUID 容易受到區塊解碼器寬鬆所造成的 HTTP 要求走私問題影響，遠端攻擊者可藉此執行要求/回應走私超出防火牆和前端安全性系統。
(CVE-2023-46846)
- Squid 容易受到拒絕服務攻擊，當 Squid 設定為接受 HTTP 摘要式驗證時，遠端攻擊者可將最多 2 MB 的任意資料寫入堆積記憶體，以發動緩衝區溢位攻擊。(CVE-2023-46847)
- Squid 是一種用於 Web 的快取代理伺服器，支援 HTTP、HTTPS、FTP 等。由於緩衝區過度讀取錯誤，Squid 的 HTTP 訊息處理程序容易遭受拒絕服務攻擊。此錯誤已在 Squid 6.5 版中修正。建議所有使用者進行升級。目前沒有任何因應措施可解決此弱點。
(CVE-2023-49285)
- Squid 是一種用於 Web 的快取代理伺服器，支援 HTTP、HTTPS、FTP 等。由於未正確檢查函式傳回值錯誤，Squid 的協助程式流程管理程序容易遭受拒絕服務攻擊。此錯誤已在 Squid 6.5 版中修正。建議所有使用者進行升級。目前沒有任何因應措施可解決此弱點。(CVE-2023-49286)
- Squid 是一種用於 Web 的快取代理伺服器。由於 2.6 至 2.7.STABLE9 版、3.1 至 5.9 版，以及 6.0.1 至 6.5 版中存在一個不受控制的遞回錯誤，Squid 可能容易遭受 HTTP 要求剖析的拒絕服務攻擊。此問題允許遠端用戶端在設定 follow_x_forwarded_for 功能時，傳送大型 X-Forwarded-For 標頭，藉此發動拒絕服務攻擊。此錯誤已在 Squid 6.6 版中修正。此外，可在 Squid 的修補程式封存中找到可解決此問題的修補程式的穩定版本。(CVE-2023-50269)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級 squid 套件。另請參閱
https://security-tracker.debian.org/tracker/source-package/squid
https://security-tracker.debian.org/tracker/CVE-2023-46728
https://security-tracker.debian.org/tracker/CVE-2023-46846
https://security-tracker.debian.org/tracker/CVE-2023-46847
https://security-tracker.debian.org/tracker/CVE-2023-49285
https://security-tracker.debian.org/tracker/CVE-2023-49286
Plugin 詳細資訊
嚴重性: Medium
ID: 189095
檔案名稱: debian_DLA-3709.nasl
版本: 1.0
類型: local
代理程式: unix
已發布: 2024/1/16
已更新: 2024/1/16
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.4
CVSS v2
風險因素: Medium
基本分數: 5
時間分數: 3.7
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS 評分資料來源: CVE-2023-46846
CVSS v3
風險因素: Medium
基本分數: 5.3
時間分數: 4.6
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:debian:debian_linux:squid, p-cpe:/a:debian:debian_linux:squid-cgi, p-cpe:/a:debian:debian_linux:squid-common, p-cpe:/a:debian:debian_linux:squid-purge, p-cpe:/a:debian:debian_linux:squid3, p-cpe:/a:debian:debian_linux:squidclient, cpe:/o:debian:debian_linux:10.0
必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2024/1/9
弱點發布日期: 2023/10/25
參考資訊
CVE: CVE-2023-46728, CVE-2023-46846, CVE-2023-46847, CVE-2023-49285, CVE-2023-49286, CVE-2023-50269