Scientific Linux 安全更新：SL6.x i386/x86_64 中的 squid

medium Nessus 插件 ID 64960

语言：

简介

远程 Scientific Linux 主机缺少一个或多个安全更新。

描述

在 Squid Cache Manager 处理某些请求的方式中发现拒绝服务缺陷。能够访问 Cache Manager CGI 的远程攻击者可利用此缺陷导致 Squid 消耗过量内存。(CVE-2012-5643)

此更新还修复以下缺陷：

- 由于 ConnStateData::noteMoreBodySpaceAvailable() 函数中的缺陷，Squid 的子进程在遇到失败的断言时将会终止。已提供上游修补程序，Squid 子进程不再终止。

- 由于上游修补程序将 HTTP 标头控制持续连接从“Proxy-Connection”重命名为“Connection”，NTLM 传递认证无法运行，从而阻止登录。此更新在 squid.conf 文件中新增了“http10”选项，可用于启用修补程序中的更改。此选项默认设置为“off”。
当设置为“on”时，NTLM 传递认证可正常运行，从而允许登录尝试成功。

- 当 IPv6 协议禁用并且 Squid 尝试处理包含 IPv6 地址的 HTTP GET 请求时，Squid 子进程因信号 6 而终止。此缺陷已修复，这些请求现在可按预期处理。

- 旧“stale if hit”逻辑不考虑存储的过时响应因对源服务器重新验证成功而更新的情况。
结果返回不正确的警告消息。
现在，Squid 在所述的情况下不再将元素标记为过时。

- 如果 squid 程序包先于 samba-winbind 安装，则 wbpriv 群组不包含 Squid。结果，NTLM 认证调用失败。现在，如果 samba-winbind 先于 Squid 安装，Squid 会正确将自己添加到 wbpriv 群组，因此修复此缺陷。

- 在 FIPS 模式中，Squid 对用户认证和网络访问使用专用 MD5 哈希函数。当 MD5 与 FIPS 模式不兼容时，Squid 可能无法启动。
此更新将专用 MD5 函数的使用限于本地磁盘文件哈希标识符，从而允许 Squid 在 FIPS 模式中运行。

- 在系统负载高时，squid 进程在重新启动时可因分段错误而意外终止。此更新改善了重新启动时的内存处理，从而修复了此缺陷。

- Squid 错误使用服务器端连接的值设置客户端 HTTP 连接的超时限制，该值大很多，从而造成不必要的延迟。
通过此更新，Squid 对客户端超时限制使用正确的值。

- Squid 在生成错误页内容时未正常释放分配的内存，从而导致内存泄漏。结果，Squid 代理服务器在短时间内消耗大量内存。此更新修复了此内存泄漏。

- Squid 未将 ident 值传递给使用“url_rewrite_program”指令配置的 URL 重写器。因此，URL 重写器收到破折号（“–”）作为用户值，而不是收到正确的用户名。现在，URL 重写器在所述的情况下会收到正确的用户名。

- 用作透明代理的 Squid 只能处理 HTTP 协议。以前，可以定义其中的访问协议包含星号字符 (*) 或未知协议命名空间 URI 的 URL。
因此，错误消息“Invalid URL”在重新加载时会记录到 access.log 中。此更新确保透明代理 URL 中始终使用“http://”，并且此情况下不再记录该错误消息。

安装此更新后，squid 服务将自动重新启动。