Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Squid <= 3.5.15 Squid <= 4.0.7 Betroffene Plattformen: GNU/Linux Zwei Schwachstellen in Squid ermöglichen einem entfernten, nicht authentifizierten Angreifer die Durchführung von Denial-of-Service-Angriffen mit Hilfe spezieller HTTP- oder ICMPv6-Anfragen. Eine dieser Schwachstellen führt bei bestimmten Systemkonfigurationen zur Veröffentlichung sensitiver Informationen in Log-Dateien von Squid. Squid-cache.org stellt die Programmversionen 3.5.16 (Stable) und 4.0.8 (Beta) bereit, um diese Schwachstellen zu beheben. Patch: Aktuelle Programmversionen von Squid http://www.squid-cache.org/Versions/
Patch:
Squid Proxy Cache Security Update Advisory SQUID-2016:3
http://www.squid-cache.org/Advisories/SQUID-2016_3.txt
Patch:
Squid Proxy Cache Security Update Advisory SQUID-2016:4
http://www.squid-cache.org/Advisories/SQUID-2016_4.txt
CVE-2016-3948: Schwachstelle in Squid ermöglicht Denial-of-Service-Angriff
Durch falsche Überprüfungen von Grenzen in Squid kann es bei der
Verarbeitung von HTTP-Anfragen zu einem Denial-of-Service-Zustand kommen.
CVE-2016-3947: Schwachstelle in Squid ermöglicht Denial-of-Service-Angriff
Bei der Verarbeitung von ICMPv6-Paketen durch den Squid Pinger kann es zu
einem Pufferüberlauf und in der Folge zu einem Denial-of-Service-Zustand des
Pingers kommen. Dadurch werden Routing-Entscheidungen von Squid beeinflusst,
was in manchen Konfigurationen zum Ausfall des Services oder zu
Transkationsfehlern führen kann. Auf Systemen, in denen kein Schutz vor
Pufferüberläufen implementiert ist, führt diese Schwachstelle zur
Veröffentlichung beliebiger Datenmengen des Heap-Speichers in den
Log-Dateien von Squid durch den Pinger, der als Prozess mit Root-Rechten
läuft.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0539/
Aktuelle Programmversionen von Squid:
http://www.squid-cache.org/Versions/
Squid Proxy Cache Security Update Advisory SQUID-2016:3:
http://www.squid-cache.org/Advisories/SQUID-2016_3.txt
Squid Proxy Cache Security Update Advisory SQUID-2016:4:
http://www.squid-cache.org/Advisories/SQUID-2016_4.txt
Schwachstelle CVE-2016-3947 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3947
Schwachstelle CVE-2016-3948 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3948
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
