Исходное сообщение
"Выпуск прокси-сервера  Squid 4.8 с устранением критической у..." Отправлено opennews, 14-Июл-19 19:40
Опубликован (https://www.mail-archive.com/squid-announce@lists.squid...) корректирующий выпуск прокси-сервера  Squid 4.8 (http://www.squid-cache.org/), в котором устранено 5 уязвимостей. Одна уязвимость  (CVE-2019-12527) позволяет (https://www.mail-archive.com/squid-announce@lists.squid...) потенциально организовать выполнение кода с правами серверного процесса. Проблема вызвана ошибкой в обработчике аутентификации HTTP Basic и позволяет инициировать переполнение буфера при передаче специальной оформленных учётных данных при обращении к Squid Cache Manager или встроенному шлюзу FTP. Уязвимость проявляется начиная с выпуска Squid 4.0.23. В качестве обходного пути блокирования уязвимости можно пересобрать squid с опцией "--disable-auth-basic" или запретить в конфигурации обращение к сервисам, использующим HTTP-аутентификацию:     acl FTP proto FTP     http_access deny FTP     http_access deny manager Другие три уязвимости могут привести к отказу в обслуживании при манипуляциях с  cachemgr.cgi, аутентификации HTTP Digest или HTTP Basic. Оставшаяся уязвимость позволяет организовать межсайтовый скриптинг через cachemgr.cgi. URL: https://www.mail-archive.com/squid-announce@lists.squid... Новость: https://www.opennet.ru/opennews/art.shtml?num=51087