Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  Squid Software Foundation Squid HTTP Caching Proxy バージョン 3.0 から 3.5.27、4.0 から 4.0.22 では、ESI Response Processing に不正なポインター処理の脆弱性があり、プロキシを使用するすべてのクライアントに対してサービス拒否が発生する可能性があります。この攻撃は、有効ではあるものの通常とは異なる ESI 構文が含まれる HTTP 応答ペイロードをリモートサーバーで配信することにより、悪用される可能性があります。この脆弱性は 4.0.23 以降では修正されていると見られます。(CVE-2018-1000024)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

バグ修正とセキュリティ更新

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Oracle Linux 7 ホストに、ELSA-2020-1068 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  Squid Software Foundation Squid HTTP Caching Proxy バージョン 3.0 から 3.5.27、4.0 から 4.0.22 では、ESI Response Processing に不正なポインター処理の脆弱性があり、プロキシを使用するすべてのクライアントに対してサービス拒否が発生する可能性があります。この攻撃は、有効ではあるものの通常とは異なる ESI 構文が含まれる HTTP 応答ペイロードをリモートサーバーで配信することにより、悪用される可能性があります。この脆弱性は 4.0.23 以降では修正されていると見られます。(CVE-2018-1000024)

  4.7 以前の Squid の cachemgr.cgi Web モジュールで、user_name または auth パラメーターを介した XSS が発生します。
    (CVE-2019-13345)

  - バージョン 4.0.23 より前の Squid Software Foundation Squid HTTP Caching Proxy では、HTTP Response X-Forwarded-For のヘッダー処理に NULL ポインターデリファレンスの脆弱性が含まれており、プロキシの全クライアントにサービス拒否を引き起こす可能性があります。この攻撃は、特定のタイプの HTTP リクエストに X-Forwarded-For ヘッダーで応答するリモート HTTP サーバーを介して悪用される可能性があります。この脆弱性は 4.0.23 以降では修正されていると見られます。(CVE-2018-1000027)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

フル機能のWebプロキシキャッシュであるSquid3に、複数の脆弱性が発見されました。Common Vulnerabilities and Exposuresプロジェクトでは、次の問題を特定しています：

  - CVE-2018-1000024Louis Dion-Marcil氏は、Squidが特定のESI応答を適切に処理しないことを発見しました。特定のESI応答構文を配信するリモートサーバーは、この欠陥を利用して、Squidサービスにアクセスするすべてのクライアントにサービス拒否を引き起こす可能性があります。この問題は、SquidカスタムESIパーサーに限定されます。

  - CVE-2018-1000027Louis Dion-Marcil氏は、ESI応答を処理するまたは中間CA証明書をダウンロードする際に、Squidがサービス拒否の脆弱性に脆弱であることを発見しました。リモート攻撃者がこの欠陥を利用して、Squidサービスにアクセスするすべてのクライアントにサービス拒否を引き起こす可能性があります。

このsquid3の更新は、次の問題が修正されます：修正されたセキュリティ問題：

  - CVE-2018-1000024：ESI応答を処理する際の不適切なポインター処理によって引き起こされるDoSの修正。これは、デフォルトのカスタムesi_parserに影響します（bsc#1077003）。

  - CVE-2018-1000027：ESI応答を処理する際や中間CA証明書bsc#1077006をダウンロードする際の不適切なポインター処理によって引き起こされるDoSの修正。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Mathias Fischer 发现 Squid 未能正确处理某些标头的长字符串。恶意远程服务器可能利用此问题造成 Squid 崩溃，从而导致拒绝服务。这个问题只在 Ubuntu 16.04 LTS 中得到解决。(CVE-2016-2569)

William Lima 发现 Squid 在处理 Edge Side Includes (ESI) 时，未能正确进行 XML 解析。恶意远程服务器可能利用此问题造成 Squid 崩溃，从而导致拒绝服务。
这个问题只在 Ubuntu 16.04 LTS 中得到解决。(CVE-2016-2570)

Alex Rousskov 发现 Squid 未能正确处理响应解析失败。恶意远程服务器可能利用此问题造成 Squid 崩溃，从而导致拒绝服务。此问题仅影响 Ubuntu 16.04 LTS。(CVE-2016-2571)

Santiago Ruano Rincon 发现 Squid 未能正确处理某些 Vary 标头。远程攻击者可能利用此问题使 Squid 崩溃，从而导致拒绝服务。这个问题只在 Ubuntu 16.04 LTS 中得到解决。(CVE-2016-3948)

Louis Dion-Marcil 发现 Squid 未能正确处理某些 Edge Side Includes (ESI) 响应。恶意远程服务器可能利用此问题造成 Squid 崩溃，从而导致拒绝服务。
(CVE-2018-1000024)

Louis Dion-Marcil 发现 Squid 未能正确处理某些 Edge Side Includes (ESI) 响应。恶意远程服务器可能利用此问题造成 Squid 崩溃，从而导致拒绝服务。
(CVE-2018-1000027)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

根据其标题，远程主机上运行的 Squid 版本为低于 3.5.28 的 3.x 或低于 4.0.23 的 4.x。因而受到多个漏洞的影响：- 由于不正确的指针处理，ESI 响应处理组件存在拒绝服务 (DoS) 漏洞。控制服务器的远程攻击者可利用此问题，通过特制的 ESI 响应对访问 Squid 服务的所有客户端造成拒绝服务 (CVE-2018-1000024) - 由于不正确的指针处理，HTTP 消息处理组件存在拒绝服务 (DoS) 漏洞。未经验证的远程攻击者可利用此问题，通过特制的 HTTP 要求对访问 Squid 服务的所有客户端造成拒绝服务 (CVE-2018-1000027) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 1068 公告中提及的多个漏洞的影响。

  - squid：处理 ESI 应时，错误处理指针可导致拒绝服务 (CVE-2018-1000024)

  - squid：HTTP 处理和证书下载中的错误指针处理可导致拒绝服务 (CVE-2018-1000027)

  - squid：通过 user_name 或 cachemgr.cgi 中的身份验证参数获得的 XSS (CVE-2019-13345)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
221329	Linux Distros のパッチ未適用の脆弱性: CVE-2018-1000024	Nessus	Misc.	2025/3/4	2025/9/14	high
106635	Fedora 27：7：squid（2018-4fabf63492）	Nessus	Fedora Local Security Checks	2018/2/7	2025/10/30	high
180752	Oracle Linux 7: squid (ELSA-2020-1068 )	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	medium
106957	DebianDSA-4122-1：squid3 - セキュリティ更新	Nessus	Debian Local Security Checks	2018/2/23	2025/10/29	high
108528	SUSE SLES11セキュリティ更新プログラム：squid3（SUSE-SU-2018:0752-1）	Nessus	SuSE Local Security Checks	2018/3/22	2024/12/19	high
106619	Ubuntu 14.04 LTS / 16.04 LTS：Squid 漏洞 (USN-3557-1)	Nessus	Ubuntu Local Security Checks	2018/2/6	2024/8/27	high
119724	Squid 3.x < 3.5.28 / 4.x < 4.0.23 多个拒绝服务漏洞 (SQUID-2018:1) (SQUID-2018:2)	Nessus	Firewalls	2018/12/17	2024/7/15	high
135061	RHEL 7：squid (RHSA-2020: 1068)	Nessus	Red Hat Local Security Checks	2020/4/1	2024/11/7	medium

检测

插件搜索

high

high

medium

high

high

high

high

medium