Debian dla-4083:squid - 安全更新

high Nessus 插件 ID 232586

简介

远程 Debian 主机上缺少一个或多个与安全相关的更新。

描述

远程 Debian 11 主机上安装的多个程序包受到 dla-4083 公告中提及的多个漏洞影响。

------------------------------------------------------------------------- Debian LTS 公告 DLA-4083-1 [email protected] https://www.debian.org/lts/security/Jochen Sprickerhof 2025 年 3 月 11 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

程序包:squid 版本:4.13-10+deb11u4 CVE ID:CVE-2024-25111 CVE-2024-37894 CVE-2024-45802 Debian 错误:

在功能齐全的 Web 代理缓存 Squid 中发现数个安全漏洞。

CVE-2024-25111

因不受控制的递归错误,HTTP 分块解码器可能遭到拒绝服务攻击。此问题允许远程攻击者在发送构建的分块编码 HTTP 消息时造成拒绝服务。

CVE-2024-37894

由于分配 ESI 变量时存在越界写入错误,Squid 容易遭受内存损坏错误的影响。此错误会导致拒绝服务攻击。

CVE-2024-45802

禁用 ESI 功能支持。
- 由于输入验证、在预期生命周期期间过早地释放资源以及在 Effective Lifetime 之后缺少释放资源的错误,Squid 容易受到受信任服务器对使用代理的所有客户端发动的拒绝服务攻击。此问题已通过更改构建配置以指定 --disable-esi 选项进行修复。

对于 Debian 11 bullseye,已在 4.13-10+deb11u4 版本中修复这些问题。

建议您升级 squid 程序包。

如需了解 squid 的详细安全状态,请参阅其安全跟踪页面:
https://security-tracker.debian.org/tracker/squid

有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息,请访问以下网址:https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意,Nessus 尚未测试这些问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

升级 squid 程序包。

另见

https://security-tracker.debian.org/tracker/source-package/squid

https://security-tracker.debian.org/tracker/CVE-2024-25111

https://security-tracker.debian.org/tracker/CVE-2024-37894

https://security-tracker.debian.org/tracker/CVE-2024-45802

https://packages.debian.org/source/bullseye/squid

插件详情

严重性: High

ID: 232586

文件名: debian_DLA-4083.nasl

版本: 1.1

类型: local

代理: unix

发布时间: 2025/3/11

最近更新时间: 2025/3/11

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 4.4

CVSS v2

风险因素: High

基本分数: 7.8

时间分数: 5.8

矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C

CVSS 分数来源: CVE-2024-45802

CVSS v3

风险因素: High

基本分数: 7.5

时间分数: 6.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:debian:debian_linux:squid-cgi, cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:squid, p-cpe:/a:debian:debian_linux:squid-purge, p-cpe:/a:debian:debian_linux:squid-common, p-cpe:/a:debian:debian_linux:squid-openssl, p-cpe:/a:debian:debian_linux:squidclient

必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

易利用性: No known exploits are available

补丁发布日期: 2025/3/11

漏洞发布日期: 2024/3/6

参考资料信息

CVE: CVE-2024-25111, CVE-2024-37894, CVE-2024-45802

IAVB: 2024-B-0087-S, 2024-B-0168