【安全预警】Squid远程代码执行漏洞安全预警通告

• 风险等级

  高危

• CVSS 评分

  8.1

• CVE 编号

  CVE-2019-12526 / CVE-2019-18678 

• 漏洞概述

  近日，飓风安全中心监测到Squid官方发布了3个安全更新公告，修复了包括远程代码执行、信息泄露在内的多个安全漏洞。 其中CVE-2019-12526漏洞风险较高，攻击者可远程利用在服务器上执行命令

• 漏洞类型

  远程代码执行

漏洞详情:

Squid cache (简称为Squid) 是一个流行的代理服务器和Web缓存服务器。近日，Squid官方发布安全公告，披露了三个安全漏洞，分别如下： 

CVE-2019-12526：URN处理缓冲区溢出漏洞，远程攻击者可以通过向目标服务器发送精心设计的恶意代码达到执行任意代码的目的，开启内存访问保护的系统若被利用，可能导致服务进程异常终止，风险较高。

CVE-2019-18678：HTTP消息处理拆分漏洞，在消息解析时，由于错误的消息解析，Squid容易出现HTTP请求拆分问题，风险相对较低。

CVE-2019-18679：HTTP摘要认证信息泄露漏洞， 由于错误的数据管理，导致Squid在处理HTTP摘要认证时存在信息泄露风险。

影响版本

Squid 3.x ≤ Squid ≤ Squid 3.5.28 Squid 4.x ≤ Squid ≤ Squid 4.8

安全版本

Squid 4.9

检测方法

检查Squid版本是否在受影响范围

修复建议

官方已发布新版本修复了上述漏洞，飓风安全团队建议您：  

1、升级到最新版本；  

 2、采用临时缓解方案：     

1）CVE-2019-12526： 拒绝 URN：协议的 URI 代理转发给所有客户端 ，配置如下：           

acl URN proto URN           

http_access deny URN ；     

2）CVE-2019-18679（以下任选其一）：      

a）在 squid.conf 配置文件中移除掉 'auth_param digest ...' 配置项内容     

b）编译Squid 时加上 --disable-auth-basic 参数

官方更新通告：http://www.squid-cache.org/Advisories/

本文始发于微信公众号（飓风网络安全）：【安全预警】Squid远程代码执行漏洞安全预警通告