BDU:2025-13226

Опубликовано: 14 сент. 2025

Источник: fstec

CVSS3: 10

CVSS2: 9.4

EPSS Низкий

Описание

Уязвимость конфигурации email_err_data on прокси-сервера Squid связана с недостатками механизма формирования отчетов об ошибках. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти ограничения безопасности и получить несанкционированный доступ к защищаемой информации

Вендор

ООО «Ред Софт»

ООО «РусБИТех-Астра»

АО «ИВК»

Squid Software Foundation

Наименование ПО

РЕД ОС

Astra Linux Special Edition

АЛЬТ СП 10

Squid

Версия ПО

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

- (АЛЬТ СП 10)

до 7.2 (Squid)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «ИВК» АЛЬТ СП 10 -

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 10)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- отключение отображения отладочной информации в ссылках администратора mailto путем выполнения команды «email_err_data off»;

- использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации трафика;

- ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей.

Использование рекомендаций производителя:

https://github.com/squid-cache/squid/security/advisories/GHSA-c8cc-phh7-xmxr

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС Astra Linux:

обновить пакет squid до 6.13-2.astra3~7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-1202SE17

Для ОС Astra Linux:

обновить пакет squid до 6.13-2.astra3~7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1216SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-62168
CVE

EPSS

Процентиль: 23%

0.00077

Низкий

10 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

ROS-20251112-01

CVSS3: 10

redos

2 месяца назад

Множественные уязвимости squid

CVE-2025-62168

CVSS3: 10

ubuntu

3 месяца назад

Squid is a caching proxy for the Web. In Squid versions prior to 7.2, a failure to redact HTTP authentication credentials in error handling allows information disclosure. The vulnerability allows a script to bypass browser security protections and learn the credentials a trusted client uses to authenticate. This potentially allows a remote client to identify security tokens or credentials used internally by a web application using Squid for backend load balancing. These attacks do not require Squid to be configured with HTTP authentication. The vulnerability is fixed in version 7.2. As a workaround, disable debug information in administrator mailto links generated by Squid by configuring squid.conf with email_err_data off.

CVE-2025-62168

CVSS3: 10

nvd

3 месяца назад

CVE-2025-62168

CVSS3: 10

msrc

3 месяца назад

Squid vulnerable to information disclosure via authentication credential leakage in error handling

CVE-2025-62168

CVSS3: 10

debian

3 месяца назад

Squid is a caching proxy for the Web. In Squid versions prior to 7.2, ...

EPSS

Процентиль: 23%

0.00077

Низкий

10 Critical

CVSS3

9.4 Critical

CVSS2