遠端 Debian 10 主機上安裝的多個套件受到 dla-3709 公告中提及的多個弱點影響。

  - Squid 是一種用於 Web 的快取代理伺服器，支援 HTTP、HTTPS、FTP 等。由於 NULL 指標解除參照錯誤，Squid 的 Gopher 閘道容易遭受拒絕服務攻擊。在 Squid 6.0.1 之前的 Squid 中，gopher 通訊協定一律可用且已啟用。觸發此錯誤的回應可從任何 gopher 伺服器接收，即使是無惡意意圖的伺服器。已在 Squid 版 6.0.1 中移除 Gopher 支援。建議所有使用者進行升級。無法升級的使用者應拒絕所有 gopher URL 要求。(CVE-2023-46728)

  - SQUID 容易受到區塊解碼器寬鬆所造成的 HTTP 要求走私問題影響，遠端攻擊者可藉此執行要求/回應走私超出防火牆和前端安全性系統。
    (CVE-2023-46846)

  - Squid 容易受到拒絕服務攻擊，當 Squid 設定為接受 HTTP 摘要式驗證時，遠端攻擊者可將最多 2 MB 的任意資料寫入堆積記憶體，以發動緩衝區溢位攻擊。(CVE-2023-46847)

  - Squid 是一種用於 Web 的快取代理伺服器，支援 HTTP、HTTPS、FTP 等。由於緩衝區過度讀取錯誤，Squid 的 HTTP 訊息處理程序容易遭受拒絕服務攻擊。此錯誤已在 Squid 6.5 版中修正。建議所有使用者進行升級。目前沒有任何因應措施可解決此弱點。
    (CVE-2023-49285)

  - Squid 是一種用於 Web 的快取代理伺服器，支援 HTTP、HTTPS、FTP 等。由於未正確檢查函式傳回值錯誤，Squid 的協助程式流程管理程序容易遭受拒絕服務攻擊。此錯誤已在 Squid 6.5 版中修正。建議所有使用者進行升級。目前沒有任何因應措施可解決此弱點。(CVE-2023-49286)

  - Squid 是一種用於 Web 的快取代理伺服器。由於 2.6 至 2.7.STABLE9 版、3.1 至 5.9 版，以及 6.0.1 至 6.5 版中存在一個不受控制的遞回錯誤，Squid 可能容易遭受 HTTP 要求剖析的拒絕服務攻擊。此問題允許遠端用戶端在設定 follow_x_forwarded_for 功能時，傳送大型 X-Forwarded-For 標頭，藉此發動拒絕服務攻擊。此錯誤已在 Squid 6.6 版中修正。此外，可在 Squid 的修補程式封存中找到可解決此問題的修補程式的穩定版本。(CVE-2023-50269)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-3709：squid - 安全性更新

medium Nessus Plugin ID 189095

版本 1.0