远程iraclelinux 7 主机上存在安装的程序包该程序包受到 AXSA:2020-558:03 公告中提及的多个漏洞的影响。

    * squidHTTP 请求走私可导致缓存中毒 (CVE-2020-15810)
      * squidHTTP 请求拆分可导致缓存中毒 (CVE-2020-15811)
      * squidFTP 网关中的信息泄露问题 (CVE-2019-12528)
      * squidHTTP 请求处理中的不正确输入验证问题 (CVE-2020-8449)
      * squid反向代理配置中的缓冲区溢出 (CVE-2020-8450)
      * squid针对 HTTP 缓存的请求走私和中毒攻击 (CVE-2020-15049)
      * squid不当输入验证可导致 DoS (CVE-2020-24606) CVE-2019-12528 在 之前的 Squid 中发现一个问题 4.10。允许特制的 FTP 服务器触发堆内存中敏感信息的泄露例如与其他用户会话或非 Squid 进程相关的信息。
    CVE-2020-15049 在 4.12 和 之前的 5.x5.0.3的 Squid 的http/ContentLengthInterpreter.cc 中发现问题。可成功针对 HTTP 缓存发动请求走私和中毒攻击。客户端发送具有 Content-Length 标头的 HTTP 请求其中该标头包含 +\ - 或长度字段值的不常见 shell 空白字符前缀。
    CVE-2020-15810 在 4.13 和 5.x 之前版本的 Squid 中发现一个问题 5.0.4。由于数据验证不当，可成功针对 HTTP 和 HTTPS 流量发动 HTTP 请求走私攻击。这会导致缓存中毒。任何客户端（包括浏览器脚本）可借此绕过本地安全机制，并使用任意来源的内容，导致代理缓存和任何下游缓存中毒。配置进行宽松的标头解析（默认设置）时，Squid 将包含空白字符的标头中继到上游服务器。当这作为 Content-Length 标头的前缀出现时，Squid 将忽略指定的帧长度（允许从另一个 Content-Length 标头使用冲突的长度），但会将其中继到向上游。
    CVE-2020-15811 在 4.13 和 5.x 之前版本的 Squid 中发现一个问题 5.0.4。由于数据验证不当，可成功针对 HTTP 和 HTTPS 流量发动 HTTP 请求拆分攻击。这会导致缓存中毒。任何客户端（包括浏览器脚本）可借此绕过本地安全机制，并使用任意来源的内容，导致浏览器缓存和任何下游缓存中毒。Squid 通过字符串搜索而非解析 Transfer-Encoding 标头来查找分块编码。这允许攻击者在 Transfer-Encoding 内隐藏第二个请求。Squid 将其解释为已分块并拆分为上游交付的第二个请求。然后Squid 会向客户端发送两个不同的响应从而损坏任何下游缓存。
    CVE-2020-24606 [ ] 之前的 4.13 和 5.x 之前的 5.0.4 的 Squid 通过在处理特制的缓存摘要响应消息期间消耗所有可用 CPU 周期允许受信任的对等机执行拒绝服务。仅当 cache_peer 与缓存摘要功能一起使用时才会发生此问题。存在该问题的原因是 peer_digest.cc 中的 peerDigestHandleReply() 活锁未正确处理 EOF。
    CVE-2020-8449 在 之前的 Squid 中发现一个问题 4.10。此问题可以非预期的方式解释构建的 HTTP 请求，以访问早期安全过滤器禁止的服务器资源，这是输入验证不正确所致。
    CVE-2020-8450 在 之前的 Squid 中发现一个问题 4.10。由于缓冲区管理不正确远程客户端可在充当反向代理的 Squid 实例中造成缓冲区溢出。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

MagicLinux 7squid-3.5.20-17.el7.4 (AXSA:2020-558:03)

high Nessus 插件 ID 293854

版本 1.1