BDU:2023-07699

Опубликовано: 01 нояб. 2023

Источник: fstec

CVSS3: 8.6

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость прокси-сервера Squid связана с ошибками при проверке сертификата SSL/TLS. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

АО «ИВК»

АО «НТЦ ИТ РОСА»

Squid Software Foundation

АО "НППКТ"

Наименование ПО

Альт 8 СП

РОСА Кобальт

РОСА ХРОМ

Squid

ОСОН ОСнова Оnyx

Версия ПО

- (Альт 8 СП)

7.9 (РОСА Кобальт)

12.4 (РОСА ХРОМ)

от 3.3.0.1 до 6.4 (Squid)

до 2.10 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

АО «ИВК» Альт 8 СП -

АО «НТЦ ИТ РОСА» РОСА Кобальт 7.9

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО "НППКТ" ОСОН ОСнова Оnyx до 2.10

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,6)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

1. Отключение функций SSL-Bump:

- удалив все опции ssl-bump из http_port и https_port;

- удалив все директивы ssl_bump из squid.conf.

2. Построение новой версии Squid, используя флаг --without-openssl.

Использование рекомендаций производителя:

http://www.squid-cache.org/Versions/v5/SQUID-2023_4.patch

http://www.squid-cache.org/Versions/v6/SQUID-2023_4.patch

https://github.com/squid-cache/squid/commit/b70f864940225dfe69f9f653f948e787f99c3810

https://github.com/squid-cache/squid/security/advisories/GHSA-73m6-jm96-c6r3

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для ОСОН ОСнова Оnyx (версия 2.10):

Обновление программного обеспечения squid до версии 6.6-1osnova1

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2024-2479

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2024-2477

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-46724
CVE

EPSS

Процентиль: 64%

0.00487

Низкий

8.6 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20240725-02

CVSS3: 8.6

redos

11 месяцев назад

Уязвимость squid

CVE-2023-46724

CVSS3: 8.6

ubuntu

больше 1 года назад

Squid is a caching proxy for the Web. Due to an Improper Validation of Specified Index bug, Squid versions 3.3.0.1 through 5.9 and 6.0 prior to 6.4 compiled using `--with-openssl` are vulnerable to a Denial of Service attack against SSL Certificate validation. This problem allows a remote server to perform Denial of Service against Squid Proxy by initiating a TLS Handshake with a specially crafted SSL Certificate in a server certificate chain. This attack is limited to HTTPS and SSL-Bump. This bug is fixed in Squid version 6.4. In addition, patches addressing this problem for the stable releases can be found in Squid's patch archives. Those who you use a prepackaged version of Squid should refer to the package vendor for availability information on updated packages.

CVE-2023-46724

CVSS3: 7.5

redhat

больше 1 года назад

CVE-2023-46724

CVSS3: 8.6

nvd

больше 1 года назад

CVE-2023-46724

CVSS3: 8.6

debian

больше 1 года назад

Squid is a caching proxy for the Web. Due to an Improper Validation of ...

EPSS

Процентиль: 64%

0.00487

Низкий

8.6 High

CVSS3

7.8 High

CVSS2