Vulnérabilité dans le logiciel de proxy Squid

Date de publication :

CVE-2021-31808 [Score CVSS v3 : 6.5]
Une vulnérabilité a été corrigée dans Squid. Cette faille est due à un bogue de validation des entrées utilisateur. Son exploitation peut permettre à un attaquant distant et non authentifié de provoquer un déni de service envers tous les clients utilisant le proxy en envoyant une requête HTTP spécifique.

CVE-2021-28651 [Score CVSS v3 : 7.5]
Une vulnérabilité a été corrigée dans Squid. Cette faille est due à un bogue dans la gestion de la mémoire tampon. Lors de la résolution d'une requête avec le schéma “urn”, l'analyseur provoque une petite fuite mémoire. Un attaquant distant et authentifié peut être en mesure d’exploiter cette vulnérabilité de manière non-spécifiée afin de provoquer un déni de service.

CVE-2021-28652 [Score CVSS v3 : 4.9]
Une vulnérabilité a été corrigée dans Squid. Cette faille est due à une validation incorrecte de l'analyseur. Son exploitation peut permettre à un attaquant distant et ayant le privilège d'accès à l'API Cache Manager de provoquer un déni de service sur le logiciel.

CVE-2021-28662 [Score CVSS v3 : 6.5]
Une vulnérabilité a été corrigée dans Squid. Un attaquant distant et non authentifié peut potentiellement envoyer une requête HTTP ou HTTPS spécifique afin de provoquer un déni de service.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Déni de service

Criticité

  • Scores CVSS v3 : 7.5 max

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à l’heure actuelle.

Composants vulnérables

  • Les versions de Squid suivantes sont impactées par ces vulnérabilités :
  • antérieures à 4.15
  • antérieures à 5.0.6

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour Squid vers une des versions suivantes :
  • 4.15 ou ultérieures
  • 5.0.6 ou ultérieures

Solution de contournement

  • Aucune solution de contournement n’est disponible publiquement à l’heure actuelle.

Liens