Un paréntesis: a mi modo de ver ya es altamente preocupante la cantidad de vulnerabilidades que se han detectado en Squid en estos últimos días/meses; cuando pensamos que ha amainado la tormenta, vuelve a intensificarse. 🙁
Cuatro nuevas vulnerabilidades en Squid
domingo, 24 de abril de 2016
Se han publicado dos boletines de seguridad destinados a solucionar cuatro nuevas vulnerabilidades en SQUID versiones 2.x, 3x y 4.x que podrían permitir a atacantes remotos provocar condiciones de denegación de servicio, conseguir información sensible o ejecutar código arbitrario.
Squid es uno de los servidores proxys más populares, en gran parte por ser de código abierto y multiplataforma (aunque sus comienzos fueron para sistemas Unix).
Tres de las vulnerabilidades residen en desbordamientos de búfer y validación incorrecta de entradas en el tratamiento de respuestas ESI (Edge Side Includes) que podrían dar lugar a denegaciones de servicio de todo el sistema, obtención de información sensible o ejecución de código arbitrario. Afectan a Squid 3.x y Squid 4.x. Se han asignado los CVE-2016-4052, CVE-2016-4053 y CVE-2016-4054.
Por otra parte, con CVE-2016-4051, otra vulnerabilidad de desbordamiento de búfer en la herramienta cachemgr.cgi al tratar entradas remotas reenviadas desde Squid. Afecta a Squid 2.x, Squid 3.x y Squid 4.x
Los problemas están solucionados en las versiones Squid 3.5.17 y 4.0.9, o se puede también aplicar los parches disponibles desde:
Para Squid 3.2:
http://www.squid-cache.org/Versions/v3/3.2/changesets/squid-3.2-11841.patch
http://www.squid-cache.org/Versions/v3/3.2/changesets/SQUID-2016_5.patch
Para Squid 3.3:
http://www.squid-cache.org/Versions/v3/3.3/changesets/squid-3.3-12697.patch
http://www.squid-cache.org/Versions/v3/3.3/changesets/SQUID-2016_5.patch
Para Squid 3.4:
http://www.squid-cache.org/Versions/v3/3.4/changesets/squid-3.4-13235.patch
http://www.squid-cache.org/Versions/v3/3.4/changesets/SQUID-2016_5.patch
Para Squid 3.5:
http://www.squid-cache.org/Versions/v3/3.5/changesets/squid-3.5-14034.patch
http://www.squid-cache.org/Versions/v3/3.5/changesets/SQUID-2016_5.patch
Hace apenas 15 días, ya se publicaron actualizaciones para otras dos vulnerabilidades diferentes que podían permitir a atacantes remotos provocar condiciones de denegación de servicio o conseguir información sensible de la memoria.
Más información:
Squid Proxy Cache Security Update Advisory SQUID-2016:5
Buffer overflow in cachemgr.cgi
http://www.squid-cache.org/Advisories/SQUID-2016_5.txt
Squid Proxy Cache Security Update Advisory SQUID-2016:6
Multiple issues in ESI processing.
http://www.squid-cache.org/Advisories/SQUID-2016_6.txt
una-al-dia (09/04/2016) Solucionadas dos vulnerabilidades en Squid
http://unaaldia.hispasec.com/2016/04/solucionadas-dos-vulnerabilidades-en.html
Antonio Ropero
Twitter: @aropero
