There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Tinyproxy 1.8.3 and earlier allows remote attackers to cause a denial of service (CPU and memory
    consumption) via (1) a large number of headers or (2) a large number of forged headers that trigger hash
    collisions predictably. bucket. (CVE-2012-3505)

Tinyproxy 允許遠端攻擊者透過 (1) 大量標頭或 (2) 大量偽造標頭預測觸發雜湊衝突，從而造成拒絕服務 (CPU 與記憶體消耗)。

此更新可透過限制標頭及改善雜湊金鑰產製來修正此問題。

遠端主機受到 GLSA-201312-15 中所述的弱點影響 (Tinyproxy：拒絕服務)

    在 Tinyproxy 處理標頭的方式中發現一個弱點。
  影響：

    遠端攻擊者傳送帶有大量標頭的特製要求，進而可能導致拒絕服務情形。
  因應措施：

    目前尚無已知的因應措施。

gpernot 發現，Tinyproxy (一種 HTTP Proxy) 容易受到遠端攻擊者藉著傳送特製的要求標頭而造成的拒絕服務影響。

Tinyproxy 允许远程攻击者通过可预测触发哈希冲突的 (1) 大量标头或 (2) 大量伪造标头来造成拒绝服务（CPU 和内存消耗）。

此更新通过限制标头数量并改进哈希密钥来修复此问题。

远程主机受到 GLSA-201312-15 中所述漏洞的影响（Tinyproxy：拒绝服务）

    在 Tinyproxy 处理标头的方式中发现一个漏洞。
  影响：

    远程攻击者可发送特别构建的包含过多标头的请求，从而可能导致拒绝服务情况。
  变通方案：

    目前无任何已知的变通方案。

gpernot 发现 HTTP 代理 Tinyproxy 容易受到远程攻击者通过发送构建的请求标头造成的拒绝服务的影响。

リモートのopenSUSE 15ホストには、openSUSE-SU-2024:0119-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - リリース 1.11.2 への更新
      * ヘッダー処理での潜在的な use-after-free を修正 [CVE-2023-49606、 boo#1223746]
      * 無効なリクエストのエラーページにジャンクが表示されないようにします [CVE-2022-40468、 CVE-2023-40533、 boo#1223743]

    -tinyproxy プログラムを /usr/bin に移動します。

    - リリース 1.11.1 への更新
      * 新しい fnmatch ベースのフィルタータイプ

    - リリース 1.11 への更新
      * 複数の bind ディレクティブのサポート。

    - 1.10.0 への更新:
      * 構成ファイルが /etc/tinyproxy.conf から /etc/tinyproxy/tinyproxy.conf へ移動されました。
      * 基本 HTTP 認証のサポートを追加します
      * socks upstream サポートを追加します
      * ログファイルが指定されていない場合、stdout に記録されます
      * デフォルトでリバースプロキシを有効化
      * 透過モードでのバインドをサポート
      * 構成で複数の listen ステートメントを許可します
      * 修正 CVE-2017-11747権限を取り消す前に PID ファイルを作成。
      * 修正 CVE-2012-3505ハッシュマップでのアルゴリズムの複雑性の DoS
      * バグ修正
      * BB#110ハッシュマップでのアルゴリズムの複雑性 DoS を修正します
      * BB#106ホストとしての IPv6 リテラルアドレスのある CONNECT リクエストを修正します
      * BB#116ipv6 リテラルアドレスへの GET リクエストに対する無効な解放を修正します
      * BB#115補助グループをドロップします
      * BB#109ログファイルへの書き込みが失敗した際のクラッシュ無限ループを修正します
      * BB#74privs をドロップした後に、ログと pid ファイルを作成します
      * BB#83$USERの代わりに id の出力を使用します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Tinyproxy により、リモートの攻撃者は、(1) 多数のヘッダーまたは (2) 予測通りにハッシュ衝突を誘発する多数の偽造ヘッダーを通じて、サービス拒否（CPU 消費とメモリ消費）を引き起こすことが可能でした。

この更新では、ヘッダーの制限とハッシュキーイングの改善によりこの問題を修正します。

リモートホストは、GLSA-201312-15 で説明されている脆弱性の影響を受けます（Tinyproxy：サービス拒否）

Tinyproxy がヘッダーを動作する方法で、脆弱性が発見されました。
 影響：

リモートの攻撃者が、多すぎるヘッダのある特別に細工されたリクエストを送信し、サービス拒否状態を引き起こす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

gpernot 氏は、HTTP プロキシである Tinyproxy が、リモートの攻撃者により細工されたリクエストヘッダーを送信されることによるサービス拒否に脆弱であることを発見しました。

Tinyproxy allowed remote attackers to cause a denial of service (CPU and memory consumption) via (1) a large number of headers or (2) a large number of forged headers that trigger hash collisions predictably. bucket.

This update fixes this by limiting headers and improving the hash keying.

The remote openSUSE 15 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2024:0119-1 advisory.

    - Update to release 1.11.2
      * Fix potential use-after-free in header handling [CVE-2023-49606, boo#1223746]
      * Prevent junk from showing up in error page in invalid requests [CVE-2022-40468, CVE-2023-40533,     boo#1223743]

    - Move tinyproxy program to /usr/bin.

    - Update to release 1.11.1
      * New fnmatch based filtertype

    - Update to release 1.11
      * Support for multiple bind directives.

    - update to 1.10.0:
      * Configuration file has moved from /etc/tinyproxy.conf to         /etc/tinyproxy/tinyproxy.conf.
      * Add support for basic HTTP authentication
      * Add socks upstream support
      * Log to stdout if no logfile is specified
      * Activate reverse proxy by default
      * Support bind with transparent mode
      * Allow multiple listen statements in the configuration
      * Fix CVE-2017-11747: Create PID file before dropping privileges.
      * Fix CVE-2012-3505: algorithmic complexity DoS in hashmap
      * Bugfixes
      * BB#110: fix algorithmic complexity DoS in hashmap
      * BB#106: fix CONNECT requests with IPv6 literal addresses as host
      * BB#116: fix invalid free for GET requests to ipv6 literal address
      * BB#115: Drop supplementary groups
      * BB#109: Fix crash (infinite loop) when writing to log file fails
      * BB#74: Create log and pid files after we drop privs
      * BB#83: Use output of id instead of $USER

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote host is affected by the vulnerability described in GLSA-201312-15 (Tinyproxy: Denial of Service)

    A vulnerability has been discovered in the way how Tinyproxy works with       headers.
  Impact :

    A remote attacker could send a specially crafted request with too many       headers, possibly resulting in a Denial of Service condition.
  Workaround :

    There is no known workaround at this time.

gpernot discovered that Tinyproxy, a HTTP proxy, is vulnerable to a denial of service by remote attackers by sending crafted request headers.

ID	名稱	產品	系列	已發布	已更新	嚴重性
401196	Alpine: multiple tinyproxy packages: security update to 1.8.3-r1 (deprecated)	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2023/8/16	2026/7/2	high
401196	Alpine: multiple tinyproxy packages: security update to 1.8.3-r1 (deprecated)	Tenable Cloud Security	Alpine Linux Local Security Checks	2023/8/16	2026/7/2	high
75087	openSUSE 安全性更新：tinyproxy (openSUSE-SU-2013:1201-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
71628	GLSA-201312-15 : Tinyproxy：拒絕服務	Nessus	Gentoo Local Security Checks	2013/12/24	2021/1/6	medium
62666	Debian DSA-2564-1：tinyproxy - 拒絕服務	Nessus	Debian Local Security Checks	2012/10/24	2021/1/11	medium
75087	openSUSE 安全更新：tinyproxy (openSUSE-SU-2013:1201-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
71628	GLSA-201312-15 : Tinyproxy：拒绝服务	Nessus	Gentoo Local Security Checks	2013/12/24	2021/1/6	medium
62666	Debian DSA-2564-1：tinyproxy - 拒绝服务	Nessus	Debian Local Security Checks	2012/10/24	2021/1/11	medium
195342	openSUSE 15 セキュリティ更新tinyproxyopenSUSE-SU-2024:0119-1	Nessus	SuSE Local Security Checks	2024/5/11	2025/9/23	high
75087	openSUSE セキュリティ更新：tinyproxy（openSUSE-SU-2013:1201-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
71628	GLSA-201312-15：Tinyproxy：サービス拒否	Nessus	Gentoo Local Security Checks	2013/12/24	2021/1/6	medium
62666	Debian DSA-2564-1：tinyproxy - サービス拒否	Nessus	Debian Local Security Checks	2012/10/24	2021/1/11	medium
75087	openSUSE Security Update : tinyproxy (openSUSE-SU-2013:1201-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
195342	openSUSE 15 Security Update : tinyproxy (openSUSE-SU-2024:0119-1)	Nessus	SuSE Local Security Checks	2024/5/11	2025/9/23	high
71628	GLSA-201312-15 : Tinyproxy: Denial of Service	Nessus	Gentoo Local Security Checks	2013/12/24	2021/1/6	medium
62666	Debian DSA-2564-1 : tinyproxy - denial of service	Nessus	Debian Local Security Checks	2012/10/24	2021/1/11	medium

偵測

搜尋 Plugin

high

high

medium

medium

medium

medium

medium

medium

high

medium

medium

medium

medium

high

medium

medium