Squid Web代理软件缓冲区溢露马脚安全公告

颁布功夫 2019-08-23

? 缝隙编号和级别


CVE编号：CVE-2019-12527，危险级别：高危，CVSS分值：8.8


? 影响版本


受影响的版本


Squid 4.0.23版本至4.7版本


? 缝隙概述


Squid是一套代理服务器和Web缓存服务器软件。该软件提供缓存万维网、过滤流量、代理上网等职能。


Squid存在缓冲区谬误缝隙。该缝隙源于网络系统或产品在内存上执行操作时，未正确验证数据天堑，导致向关联的其他内存地位上执行了谬误的读写操作。远程未经身份验证的攻击者能够通过向指标服务器发送精心设计的要求来利用此缝隙，从而导致在Squid过程的高低文中执行代码。


? 缝隙验证


暂无POC/EXP。


? 建复建议


目前厂商已颁布升级补丁以建复缝隙，补丁获取链接：

https://github.com/squid-cache/squid/commits/v4。


? 参考链接


https://www.thezdi.com/blog/2019/8/22/cve-2019-12527-code-execution-on-squid-proxy-through-a-heap-buffer-overflow