現已提供適用於 Red Hat Enterprise Linux 5 與 6 的更新版 squid 套件，可修正兩個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Squid 是一個適用於 Web 用戶端的高效能 Proxy 快取伺服器，可支援 FTP、Gopher 和 HTTP 資料物件。

在 Squid 處理格式有誤之 HTTP 範圍標頭的方式中發現一個瑕疵。遠端攻擊者可利用此瑕疵傳送 HTTP 要求給 Squid 代理伺服器，從而造成 Squid 當機。(CVE-2014-3609)

在 Squid 的 DNS 查閱模組中發現一個緩衝區溢位瑕疵。遠端攻擊者可利用此瑕疵傳送 HTTP 要求給 Squid 代理伺服器，從而造成 Squid 當機。(CVE-2013-4115)

Red Hat 要感謝 Squid 專案報告 CVE-2014-3609 問題。上游確認 Matthew Daley 為原始報告者。

建議所有 Squid 使用者皆升級至此更新版套件，其中含有可修正這些問題的反向移植修補程式。安裝此更新之後，squid 服務將會自動重新啟動。

此安全性更新可修正 CVE-2013-4123 和 CVE-2013-4115。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Squid 處理格式有誤之 HTTP 範圍標頭的方式中發現一個瑕疵。遠端攻擊者可利用此缺陷傳送 HTTP 要求給 Squid 代理伺服器，從而造成 Squid 當機。(CVE-2014-3609)

在 Squid 的 DNS 查閱模組中發現一個緩衝區溢位瑕疵。遠端攻擊者可利用此缺陷傳送 HTTP 要求給 Squid 代理伺服器，從而造成 Squid 當機。(CVE-2013-4115)

在 SSL 提升啟用的情況下，Squid 3.3.12 之前的 3.1 版和 3.4.4 之前的 3.4 版允許遠端攻擊者透過特製的範圍要求造成拒絕服務 (宣告失敗)；此問題與狀態管理有關。(CVE-2014-0128)

此 squid3 更新可修正下列問題：

- pinger ICMP 處理過程中的多個問題。
 (CVE-2014-7141、CVE-2014-7142)

- CVE-2016-3947：pinger ICMPv6 處理過程中存在緩衝區滿溢問題。(bsc#973782)

- CVE-2016-4554：修正 HTTP 要求處理過程中的標頭走私問題 (bsc#979010)

- 修正 HTTP 回應處理過程中的多個拒絕服務問題。(CVE-2016-2569、CVE-2016-2570、CVE-2016-2571、CVE-2016-2572、bsc#968392、bsc#968393、bsc#968394、bsc#968395)

- CVE-2016-3948：修正 HTTP 回應處理過程中的拒絕服務 (bsc#973783)

- CVE-2016-4051：已修正 cachemgr.cgi 中的緩衝區溢位 (bsc#976553)

- CVE-2016-4052、CVE-2016-4053、CVE-2016-4054：

- 修正 ESI 處理過程中的多個問題 (bsc#976556)

- CVE-2016-4556：修正 Esi.cc 中的重複釋放弱點 (bsc#979008)

- CVE-2015-5400：不當保護替代路徑 (bsc#938715)

- CVE-2014-6270：修正 snmp 子系統中的差一問題 (bsc#895773)

- 使用 external_acl 時 squid3 中發生的記憶體洩漏 (bsc#976708)

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 squid 中發現多個弱點並已更正：

由於資料驗證不正確，Squid 在處理特製的 HTTP 要求時，容易遭受緩衝區溢位攻擊。此問題允許任何受信任的用戶端或可產生 HTTP 要求的用戶端指令碼在 Squid 中觸發緩衝區溢位，進而導致 Squid 服務終止 (CVE-2013-4115)。

已修補更新版套件，以更正此問題。

在 Squid 處理格式有誤之 HTTP 範圍標頭的方式中發現一個瑕疵。遠端攻擊者可利用此瑕疵傳送 HTTP 要求給 Squid 代理伺服器，從而造成 Squid 當機。(CVE-2014-3609)

在 Squid 的 DNS 查閱模組中發現一個緩衝區溢位瑕疵。遠端攻擊者可利用此瑕疵傳送 HTTP 要求給 Squid 代理伺服器，從而造成 Squid 當機。(CVE-2013-4115)

安裝此更新之後，squid 服務將會自動重新啟動。

在 Squid 處理格式有誤之 HTTP 範圍標頭的方式中發現一個瑕疵。遠端攻擊者可利用此缺陷傳送 HTTP 要求給 Squid 代理伺服器，從而造成 Squid 當機。(CVE-2014-3609)

在 Squid 的 DNS 查閱模組中發現一個緩衝區溢位瑕疵。遠端攻擊者可利用此缺陷傳送 HTTP 要求給 Squid 代理伺服器，從而造成 Squid 當機。(CVE-2013-4115)

此 squid3 更新包含數個安全性修正和次要變更。

- squid-3.1.x-bnc829084-CVE-2013-4115-BO_request_handling。
 diff Squid 公告 SQUID-2013_2、CVE-2013-4115、 [bnc#829084] squid 嘗試解析過長主機名稱時，特製的 http 要求可觸發緩衝區溢位。

- 跟 squid:nogroup 一樣地執行 logrotate [bnc#677335]

此 squid3 更新可修正下列問題：

- pinger ICMP 處理過程中的多個問題。
 (CVE-2014-7141、CVE-2014-7142)

- CVE-2016-3947：pinger ICMPv6 處理過程中存在緩衝區滿溢問題。(bsc#973782)

- CVE-2016-4554：修正 HTTP 要求處理過程中的標頭走私問題 (bsc#979010)

- 修正 HTTP 回應處理過程中的多個拒絕服務問題。(CVE-2016-2569、CVE-2016-2570、CVE-2016-2571、CVE-2016-2572、bsc#968392、bsc#968393、bsc#968394、bsc#968395)

- 因以上 DoS 修正造成的迴歸 (bsc#993299)

- CVE-2016-3948：修正 HTTP 回應處理過程中的拒絕服務 (bsc#973783)

- CVE-2016-4051：已修正 cachemgr.cgi 中的緩衝區溢位 (bsc#976553)

- CVE-2016-4052、CVE-2016-4053、CVE-2016-4054：

- 修正 ESI 處理過程中的多個問題 (bsc#976556)

- CVE-2016-4556：修正 Esi.cc 中的重複釋放弱點 (bsc#979008)

- CVE-2015-5400：不當保護替代路徑 (bsc#938715)

- CVE-2014-6270：修正 snmp 子系統中的差一問題 (bsc#895773)

- 使用 external_acl 時 squid3 中發生的記憶體洩漏 (bsc#976708)

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機受到 GLSA-201309-22 中所述的弱點影響 (Squid：多個弱點)

    在 Squid 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者或許能夠繞過 ACL 限制，或造成拒絕服務情形。
  因應措施：

    目前尚無已知的因應措施。

此 squid 更新可修正 squid 嘗試解析過長主機名稱時發生的緩衝區溢位問題。此問題可透過特製的 http 要求觸發。(bnc#829084、CVE-2013-4115)

此更新也包含上個 logrotate 變更的更正。(bnc#677335)

根據其標題，遠端主機上執行的 Squid 版本是 3.2.12 之前的 3.x 或 3.3.7 之前的 3.3.x，因此可能受到拒絕服務弱點影響。'dns_internal.cc' 檔案的 'idnsALookup' 函式中存在一個緩衝區溢位問題，可允許特製的 HTTP 要求，進而導致拒絕服務。

請注意，Nessus 僅依據 Proxy 伺服器標題中的版本，而專案發佈來解決此問題的修補程式尚未更新標題中的版本。如果正確套用此修補程式並重新啟動服務，請將此情況視為誤判。

此 squid 更新包含數個安全性修正和次要變更。

- squid-2.7.x-bnc829084-CVE-2013-4115-BO_request_handling。
 diff Squid 公告 SQUID-2013_2、CVE-2013-4115、 [bnc#829084] squid 嘗試解析過長主機名稱時，特製的 http 要求可觸發緩衝區溢位。

- squid-2.7.x-bnc796999-bnc794954-CVE-2012-5643-CVE-2013-0 188-cachemgr_cgi_dos.diff cachemgr.cgi 中的記憶體洩漏稱為 CVE-2013-0189，此為正在修正的 CVE-2012-5643 問題。[bnc#796999] [bnc#794954]

- 跟 squid:nogroup 一樣地執行 logrotate [bnc#677335]

來自 Red Hat 安全性公告 2014:1148：

現已提供適用於 Red Hat Enterprise Linux 5 與 6 的更新版 squid 套件，可修正兩個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Squid 是一個適用於 Web 用戶端的高效能 Proxy 快取伺服器，可支援 FTP、Gopher 和 HTTP 資料物件。

在 Squid 處理格式有誤之 HTTP 範圍標頭的方式中發現一個瑕疵。遠端攻擊者可利用此瑕疵傳送 HTTP 要求給 Squid 代理伺服器，從而造成 Squid 當機。(CVE-2014-3609)

在 Squid 的 DNS 查閱模組中發現一個緩衝區溢位瑕疵。遠端攻擊者可利用此瑕疵傳送 HTTP 要求給 Squid 代理伺服器，從而造成 Squid 當機。(CVE-2013-4115)

Red Hat 要感謝 Squid 專案報告 CVE-2014-3609 問題。上游確認 Matthew Daley 為原始報告者。

建議所有 Squid 使用者皆升級至此更新版套件，其中含有可修正這些問題的反向移植修補程式。安裝此更新之後，squid 服務將會自動重新啟動。

此 squid 更新包含數個安全性修正和次要變更。

- squid-3.2.x-11823-bnc829084-CVE-2013-4115.diff 可修正涉及非常長的主機名稱的一個緩衝區溢位。
 [bnc#829084] CVE-2013-4115

- squid-3.2.x-11823-bnc830319-CVE-2013-4123.diff 可修正識別連接埠號碼 (如用戶端所指定) 的問題。[bnc#830319] CVE-2013-4123

- 跟 squid:nogroup 一樣地執行 logrotate [bnc#677335]

ID	名稱	產品	系列	已發布	已更新	嚴重性
77509	CentOS 5 / 6：squid (CESA-2014:1148)	Nessus	CentOS Local Security Checks	2014/9/4	2021/1/4	high
69204	Fedora 18 : squid-3.2.13-1.fc18 (2013-13493)	Nessus	Fedora Local Security Checks	2013/8/5	2021/1/11	high
78658	Amazon Linux AMI：squid (ALAS-2014-433)	Nessus	Amazon Linux Local Security Checks	2014/10/24	2018/4/18	high
93271	SUSE SLES11 安全性更新：squid3 (SUSE-SU-2016:1996-1)	Nessus	SuSE Local Security Checks	2016/9/2	2021/1/19	high
69067	Mandriva Linux 安全性公告：squid (MDVSA-2013:199)	Nessus	Mandriva Local Security Checks	2013/7/26	2021/1/6	high
77523	RHEL 5 / 6 : squid (RHSA-2014:1148)	Nessus	Red Hat Local Security Checks	2014/9/4	2021/1/14	high
77553	Scientific Linux 安全性更新：SL5.x、SL6.x i386/x86_64 上的 squid	Nessus	Scientific Linux Local Security Checks	2014/9/5	2021/1/14	high
78354	Amazon Linux AMI：squid (ALAS-2014-411)	Nessus	Amazon Linux Local Security Checks	2014/10/12	2018/4/18	high
75142	openSUSE 安全性更新：squid3 (openSUSE-SU-2013:1441-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
93294	SUSE SLES11 安全性更新：squid3 (SUSE-SU-2016:2089-1)	Nessus	SuSE Local Security Checks	2016/9/2	2021/1/19	high
69201	Fedora 19 : squid-3.2.13-1.fc19 (2013-13468)	Nessus	Fedora Local Security Checks	2013/8/5	2021/1/11	high
70182	GLSA-201309-22 : Squid：多個弱點	Nessus	Gentoo Local Security Checks	2013/9/28	2021/1/6	high
70021	SuSE 11.2 / 11.3 安全性更新：squid (SAT 修補程式編號 8309 / 8310)	Nessus	SuSE Local Security Checks	2013/9/20	2021/1/19	high
69041	Squid 3.x < 3.2.12 / 3.3.x < 3.3.7 idnsALookup HTTP 要求 DoS	Nessus	Firewalls	2013/7/24	2019/11/27	high
75139	openSUSE 安全性更新：squid (openSUSE-SU-2013:1436-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
77517	Oracle Linux 5 / 6：squid (ELSA-2014-1148)	Nessus	Oracle Linux Local Security Checks	2014/9/4	2021/1/14	high
75140	openSUSE 安全性更新：squid (openSUSE-SU-2013:1435-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high