Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-02396

Опубликовано: 11 июл. 2019
Источник: fstec
CVSS3: 8.8
CVSS2: 10
EPSS Средний

Описание

Уязвимость функции HttpHeader::getAuth прокси-сервера Squid связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании или выполнить произвольный код

Вендор

Canonical Ltd.
Сообщество свободного программного обеспечения
Fedora Project
Red Hat Inc.
Novell Inc.
Squid Software Foundation

Наименование ПО

Ubuntu
Debian GNU/Linux
Fedora
Red Hat Enterprise Linux
OpenSUSE Leap
Squid

Версия ПО

16.04 LTS (Ubuntu)
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
8.0 (Debian GNU/Linux)
29 (Fedora)
19.04 (Ubuntu)
8 (Red Hat Enterprise Linux)
15.0 (OpenSUSE Leap)
15.1 (OpenSUSE Leap)
10 (Debian GNU/Linux)
от 4.0.23 до 4.7 включительно (Squid)

Тип ПО

Операционная система
Сетевое программное средство

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 8.0
Fedora Project Fedora 29
Canonical Ltd. Ubuntu 19.04
Red Hat Inc. Red Hat Enterprise Linux 8
Novell Inc. OpenSUSE Leap 15.0
Novell Inc. OpenSUSE Leap 15.1
Сообщество свободного программного обеспечения Debian GNU/Linux 10

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Squid:
http://www.squid-cache.org/Versions/v4/changesets/
http://www.squid-cache.org/Versions/v4/changesets/squid-4-7f73e9c5d17664b882ed32590e6af310c247f320.patch
https://github.com/squid-cache/squid/commits/v4
Для Ubuntu:
https://usn.ubuntu.com/4065-1/
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/SPXN2CLAGN5QSQBTOV5IGVLDOQSRFNTZ/
Для программных продуктов Novell Inc.:
https://lists.opensuse.org/opensuse-security-announce/2019-11/msg00053.html
https://lists.opensuse.org/opensuse-security-announce/2019-11/msg00056.html
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2019-12527
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2019-12527

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 94%
0.15907
Средний

8.8 High

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 8.8
ubuntu
почти 6 лет назад

An issue was discovered in Squid 4.0.23 through 4.7. When checking Basic Authentication with HttpHeader::getAuth, Squid uses a global buffer to store the decoded data. Squid does not check that the decoded length isn't greater than the buffer, leading to a heap-based buffer overflow with user controlled data.

CVSS3: 7.5
redhat
почти 6 лет назад

An issue was discovered in Squid 4.0.23 through 4.7. When checking Basic Authentication with HttpHeader::getAuth, Squid uses a global buffer to store the decoded data. Squid does not check that the decoded length isn't greater than the buffer, leading to a heap-based buffer overflow with user controlled data.

CVSS3: 8.8
nvd
почти 6 лет назад

An issue was discovered in Squid 4.0.23 through 4.7. When checking Basic Authentication with HttpHeader::getAuth, Squid uses a global buffer to store the decoded data. Squid does not check that the decoded length isn't greater than the buffer, leading to a heap-based buffer overflow with user controlled data.

CVSS3: 8.8
debian
почти 6 лет назад

An issue was discovered in Squid 4.0.23 through 4.7. When checking Bas ...

rocky
почти 6 лет назад

Important: squid:4 security update

EPSS

Процентиль: 94%
0.15907
Средний

8.8 High

CVSS3

10 Critical

CVSS2