したがって、ALAS2023-2024-687 のアドバイザリに記載されている脆弱性の影響を受けます。

    Squid は、HTTP、HTTPS、FTP などをサポートする Web 用のキャッシングプロキシです。ESI 変数を割り当てる際の領域外書き込みエラーがあるため、Squid はメモリ破損エラーの影響を受けやすくなっています。このエラーにより、DoS 攻撃 (サービス拒否攻撃) が引き起こされる可能性があります。(CVE-2024-37894)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-4083 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4083-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Jochen Sprickerhof 2025 年 3 月 11 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : squid バージョン : 4.13-10+deb11u4 CVE ID : CVE-2024-25111 CVE-2024-37894 CVE-2024-45802 Debian バグ :

    フル機能の Web プロキシキャッシュである Squid に、複数のセキュリティ脆弱性が発見されました。

    CVE-2024-25111

        制御されない再帰のバグにより、HTTP チャンクデコーダーに対するサービス拒否攻撃の可能性があります。この問題により、細工され、チャンクされ、エンコードされた HTTP メッセージを送信する際に、リモートの攻撃者がサービス拒否を引き起こす可能性があります。

    CVE-2024-37894

        ESI 変数を割り当てる際の領域外書き込みエラーがあるため、Squid はメモリ破損エラーの影響を受けやすくなっています。このエラーにより、DoS 攻撃 (サービス拒否攻撃) が引き起こされる可能性があります。

    CVE-2024-45802

        ESI 機能のサポートを無効にします。
        - 入力検証、有効期間内のリソースの早期解放、有効期間後のリソース解放エラーのバグにより、Squid は、プロキシを使用するすべてのクライアントに対する、信頼できるサーバーによるサービス拒否攻撃に対して脆弱です。この問題は、--disable-esi オプションを指定するようにビルド設定を変更することで修正されます。

    Debian 11 bullseye においては、これらの問題はバージョン 4.13-10+deb11u4 で修正されました。

    squid パッケージをアップグレードすることを推奨します。

    squid の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/squid

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Squid は、HTTP、HTTPS、FTP などをサポートする Web 用のキャッシングプロキシです。ESI 変数を割り当てる際の領域外書き込みエラーがあるため、Squid はメモリ破損エラーの影響を受けやすくなっています。このエラーにより、DoS 攻撃 (サービス拒否攻撃) が引き起こされる可能性があります。(CVE-2024-37894)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 39 ホストには、FEDORA-2024-8ca9261bdd のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - バージョン更新
    - セキュリティの更新：

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2024:2270-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-37894: ESI 処理におけるサービス拒否の問題を修正しました (bsc#1227086)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
205102	Amazon Linux 2023 : squid (ALAS2023-2024-687)	Nessus	Amazon Linux Local Security Checks	2024/8/6	2024/12/11	medium
232586	Debian dla-4083 : squid - セキュリティ更新	Nessus	Debian Local Security Checks	2025/3/11	2025/3/11	high
228499	Linux Distros のパッチ未適用の脆弱性: CVE-2024-37894	Nessus	Misc.	2025/3/5	2025/9/29	medium
202164	Fedora 39 : squid (2024-8ca9261bdd)	Nessus	Fedora Local Security Checks	2024/7/11	2025/9/24	medium
201323	SUSE SLES12 セキュリティ更新 : squid (SUSE-SU-2024:2270-1)	Nessus	SuSE Local Security Checks	2024/7/3	2024/11/8	medium

偵測

搜尋 Plugin

medium

high

medium

medium

medium