SquidClamav developers report :

This release fix several security issues by escaping CGI parameters.

Prior to versions 6.7 and 5.8, CGI script clwarn.cgi was not properly sanitizing input variables, so they could be used to inject arbitrary strings to the generated page, leading to the cross-site scripting attacks.

The version of SquidClamav installed on the remote host is affected by a cross-site scripting vulnerability because it fails to properly sanitize user-supplied input to the 'url' parameter of the 'clwarn.cgi' script.  An attacker may leverage this issue to execute arbitrary script in the browser of an unsuspecting user to be executed within the security context of the affected site. 

Note that the application is also reportedly affected by cross-site scripting vulnerabilities with the 'source', 'virus' and 'user' parameters of the 'clwarn.cgi' script but Nessus has not tested the additional parameters.

以下は、SquidClamav 開発者からの報告です。

このリリースでは、CGI パラメーターのエスケープによるいくつかのセキュリティ問題を修正しています。

バージョン 6.7 および 5.8 より前では、CGI スクリプト clwarn.cgi は入力変数を適切にサニタイズしていませんでした。このため、この問題が利用されて、生成されたページに任意の文字列が注入されたり、クロスサイトスクリプティング攻撃が実行されたりする可能性がありました。

リモートホストにインストールされている SquidClamav のバージョンは、クロスサイトスクリプティングの脆弱性に影響を受けます。これは、「clwarn.cgi」スクリプトの「url」パラメーターへのユーザー指定の入力を、適切にサニタイズできないためです。攻撃者がこの問題を利用して、影響を受けるサイトのセキュリティコンテキスト内で実行される疑いを持たないユーザーのブラウザで、任意のスクリプトを実行する可能性があります。

注意：報告によると、このアプリケーションは、「clwarn.cgi」スクリプトの「source」、「virus」、および「user」パラメーターに関するクロスサイトスクリプティング脆弱性の影響も受けますが、Nessus はこれら追加のパラメーターをテストしませんでした。

SquidClamav 开发人员报告：

此版本通过转义 CGI 参数来修复多个安全问题。

在版本 6.7 和 5.8 版本之前，CGI 脚本 clwarn.cgi 未正确审查输入变量，因此这些变量可用于将任意字符串注入到生成的页面，从而导致跨站脚本攻击。

远程主机上安装的 SquidClamav 版本受到一个跨站脚本漏洞的影响，原因是其未能正确审查用户向“clwarn.cgi”脚本的“url”参数提供的输入。攻击者可利用此问题在受影响站点的安全环境中，在没有防备的用户的浏览器中执行任意脚本。

请注意，另据报告，应用程序还受到“clwarn.cgi”脚本的“source”、“virus”和“user”参数造成的跨站脚本漏洞的影响，但 Nessus 尚未测试其他参数。

SquidClamav 開發人員報告：

此版本可透過逸出 CGI 參數，修正數個安全性問題。

在 6.7 和 5.8 版之前，CGI 指令碼 clwarn.cgi 未正確清理輸入變數，因此可能會使用這些輸入變數，將任意字串插入所產生的頁面，進而導致跨網站指令碼攻擊。

遠端主機上安裝的 SquidClamav 版本受到一個跨網站指令碼弱點影響，這是因為其無法正確清理使用者向 'clwarn.cgi' 指令碼之 'url' 參數提供的輸入所導致。攻擊者可利用此問題在受影響網站的安全性環境中，於不知情使用者的瀏覽器中執行任意指令碼。

請注意，據報應用程式也受到 'clwarn.cgi' 指令碼之 'source'、'virus' 與 'user' 參數的跨網站指令碼弱點影響，但 Nessus 尚未測試過其他參數。

ID	名稱	產品	系列	已發布	已更新	嚴重性
61679	FreeBSD : squidclamav -- XSS in default virus warning pages (ce680f0a-eea6-11e1-8bd8-0022156e8794)	Nessus	FreeBSD Local Security Checks	2012/8/27	2021/1/6	medium
62030	SquidClamav clwarn.cgi url Parameter XSS	Nessus	CGI abuses : XSS	2012/9/10	2021/1/19	medium
61679	FreeBSD：squidclamav -- デフォルトのウイルス警告ページの XSS（ce680f0a-eea6-11e1-8bd8-0022156e8794）	Nessus	FreeBSD Local Security Checks	2012/8/27	2021/1/6	medium
62030	SquidClamav clwarn.cgi の url パラメーターにおける XSS	Nessus	CGI abuses : XSS	2012/9/10	2021/1/19	medium
61679	FreeBSD：squidclamav -- 默认病毒警告页面中的 XSS (ce680f0a-eea6-11e1-8bd8-0022156e8794)	Nessus	FreeBSD Local Security Checks	2012/8/27	2021/1/6	medium
62030	SquidClamav clwarn.cgi url 参数 XSS	Nessus	CGI abuses : XSS	2012/9/10	2021/1/19	medium
61679	FreeBSD：squidclamav -- 預設病毒警告頁面中的 XSS (ce680f0a-eea6-11e1-8bd8-0022156e8794)	Nessus	FreeBSD Local Security Checks	2012/8/27	2021/1/6	medium
62030	SquidClamav clwarn.cgi url 參數 XSS	Nessus	CGI abuses : XSS	2012/9/10	2021/1/19	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium