根据其标题，远程主机上运行的 Squid 2.x 或 3.x 版本低于 3.1.23 / 3.2.6 / 3.3.0.3。据报告，所包含的“cachemgr.cgi”工具缺乏输入验证，可以访问该工具的任何客户端都可能会滥用该工具，对服务主机发起拒绝服务攻击。

请注意，此补丁是因为针对 CVE-2012-5643 的修复不完整。
 另请注意，Nessus 未实际测试此问题，而是依赖服务器标题中的版本。

这是修复 cachemgr 工具中多种内存泄漏的安全更新。(CVE-2013-0189)

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Squid 中通过无效 Content-Length 标头和内存泄漏造成拒绝服务的问题已经修复。（CVE-2012-5643 / CVE-2013-0189，SQUID-2012:1）

还修复了 logrotate 权限问题。

已在 squid (cachemgr.cgi) 中发现并修正了多种漏洞：

低于 3.1.22 的 Squid 2.x 和 3.x、低于 3.2.4 的 Squid 3.2.x 以及低于 3.3.0.2 的 Squid 3.3.x 的 cachemgr.cgi 的 tools/cachemgr.cc 中存在多个内存泄漏，允许远程攻击者通过 (1) 无效 Content-Length 标头、(2) 长 POST 请求，或 (3) 构建的认证凭据造成拒绝服务（内存消耗）(CVE-2012-5643)。

Squid 3.1.x 和 3.2.x（可能是 3.1.22、3.2.4 及其他版本）中的 cachemgr.cgi 允许远程攻击者通过构建的请求造成拒绝服务（资源消耗）。注意：此问题源于对 CVE-2012-5643 的修复不正确，可能涉及不正确的参数顺序或不正确的比较 (CVE-2013-0189)。

更新后的程序包已进行修补，以修正这些问题。

此 squid 更新包含多个安全补丁和一些小更改。

- squid-2.7.x-bnc829084-CVE-2013-4115-BO_request_handling.
 diff Squid 公告 SQUID-2013_2、CVE-2013-4115、[bnc#829084] 当 squid 尝试解析过长的主机名时，特别构建的 http 请求可触发缓冲区溢出。

- cachemgr.cgi 中的 squid-2.7.x-bnc796999-bnc794954-CVE-2012-5643-CVE-2013-0 188-cachemgr_cgi_dos.diff 内存泄漏，称为 CVE-2013-0189，即修复不完整的 CVE-2012-5643 问题。[bnc#796999] [bnc#794954]

- 将 logrotate 作为 squid:nogroup 运行 [bnc#677335]

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

  - 在 3.1.22 之前的 Squid 2.x 和 3.x、3.2.4 之前的 Squid 3.2.x 以及 3.3.0.2 之前的 Squid 3.3.x 中，cachemgr.cgi 的 tools/cachemgr.cc 中存在多个内存泄漏，允许远程攻击者通过 (1) 无效 Content-Length 标头、(2) 长 POST 请求或 (3) 构建的身份验证凭据造成拒绝服务（内存消耗）。(CVE-2012-5643)

  - Squid 3.1.x 和 3.2.x（可能是 3.1.22、3.2.4 及其他版本）中的 cachemgr.cgi 允许远程攻击者通过构建的请求造成拒绝服务（资源消耗）。注意：此问题源于对 CVE-2012-5643 的修复不正确，可能涉及不正确的参数顺序或不正确的比较。
    (CVE-2013-0189)

发现 squid 的 cachemgr.cgi 容易受到过量资源使用的影响。远程攻击者可利用此缺陷对服务器和其他托管服务执行拒绝服务攻击。(CVE-2012-5643)

已发现针对 CVE-2012-5643 的修补程序不正确。远程攻击者可利用此缺陷来执行拒绝服务攻击。(CVE-2013-0189)。

远程主机受到 GLSA-201309-22 中所述漏洞的影响（Squid：多个漏洞）

    已在 Squid 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可绕过 ACL 限制或造成拒绝服务情况。
  变通方案：

    目前无任何已知的变通方案。

Squid 开发人员报告：

由于缺少输入验证，处理特别构建的请求时，Squid cachemgr.cgi 工具容易受到拒绝服务攻击的影响。

可访问 cachemgr.cgi to 的任何客户端可利用此问题在服务主机上执行拒绝服务攻击。

该攻击的性质可能通过在主机服务器上消耗资源来产生二次效应。

Squid 中通过无效 Content-Length 标头和内存泄漏造成拒绝服务的问题已经修复。（CVE-2012-5643 / CVE-2013-0189，SQUID-2012:1）

Squid3 中通过无效 Content-Length 标头和内存泄漏引起的拒绝服务问题已经修复。（CVE-2012-5643 / CVE-2013-0189，SQUID-2012:1）

还修复了 logrotate 权限问题。

更新后的 squid 程序包修复了安全漏洞：

由于缺少输入验证，3.1.22 和 3.2.4 之前的 Squid 中的 Squid cachemgr.cgi 工具在处理特别构建的请求时容易遭受拒绝服务攻击 (CVE-2012-5643)。

已发现针对 CVE-2012-5643 的修补程序不正确。远程攻击者可利用此缺陷来执行拒绝服务攻击 (CVE-2013-0189)。

Squid3（全功能 Web 代理缓存）容易受到拒绝服务攻击的影响，原因是 cachemgr.cgi 中的内存泄漏导致消耗内存：

- CVE-2012-5643 squid 的 cachemgr.cgi 容易受到过量使用资源的影响。远程攻击者可利用此缺陷对服务器和其他托管服务执行拒绝服务攻击。

- CVE-2013-0189 针对 CVE-2012-5643 的原始修补程序不完整。远程攻击者仍然可利用此缺陷执行拒绝服务攻击。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
64501	Squid 2.x / 3.x < 3.1.23 / 3.2.6 / 3.3.0.3 cachemgr.cgi DoS	Nessus	Firewalls	2013/2/8	2018/9/17	medium
64514	Fedora 17：squid-3.2.5-2.fc17 (2013-1625)	Nessus	Fedora Local Security Checks	2013/2/10	2021/1/11	medium
64864	SuSE 11.2 安全更新：squid（SAT 修补程序编号 7335）	Nessus	SuSE Local Security Checks	2013/2/24	2021/1/19	medium
64745	Mandriva Linux 安全公告：squid (MDVSA-2013:013)	Nessus	Mandriva Local Security Checks	2013/2/21	2021/1/6	medium
75139	openSUSE 安全更新：squid (openSUSE-SU-2013:1436-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
80773	Oracle Solaris 第三方修补程序更新：squid (multiple_vulnerabilities_in_squid)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	medium
64376	Ubuntu 10.04 LTS / 11.10 / 12.04 LTS / 12.10：squid、squid3 漏洞 (USN-1713-1)	Nessus	Ubuntu Local Security Checks	2013/1/31	2019/9/19	medium
64513	Fedora 18：squid-3.2.5-2.fc18 (2013-1616)	Nessus	Fedora Local Security Checks	2013/2/10	2021/1/11	medium
70182	GLSA-201309-22 : Squid：多个漏洞	Nessus	Gentoo Local Security Checks	2013/9/28	2021/1/6	high
63366	FreeBSD：squid -- 拒绝服务 (c37de843-488e-11e2-a5c9-0019996bc1f7)	Nessus	FreeBSD Local Security Checks	2012/12/31	2021/1/6	medium
64866	SuSE 10 安全更新：squid（ZYPP 修补程序编号 8464）	Nessus	SuSE Local Security Checks	2013/2/24	2021/1/19	medium
64889	SuSE 11.2 安全更新：squid3（SAT 修补程序编号 7336）	Nessus	SuSE Local Security Checks	2013/2/26	2021/1/19	medium
66141	Mandriva Linux 安全公告：squid (MDVSA-2013:129)	Nessus	Mandriva Local Security Checks	2013/4/20	2021/1/6	medium
64867	Debian DSA-2631-1：squid3 - 拒绝服务	Nessus	Debian Local Security Checks	2013/2/25	2021/1/11	medium

检测

插件搜索

medium

medium

medium

medium

high

medium

medium

medium

high

medium

medium

medium

medium

medium