漏洞信息详情

Squid Web代理缓存arrayShrink()函数远程拒绝服务漏洞

• CNNVD编号：CNNVD-200804-011
• 危害等级： 中危
  
• CVE编号： CVE-2008-1612
• 漏洞类型： 输入验证
• 发布时间： 2008-04-01
• 威胁类型： 远程
• 更新时间： 2009-04-02
• 厂        商： squid
• 漏洞来源： Adrian Chadd

漏洞简介

Squid是一个高效的Web缓存及代理程序，最初是为Unix平台开发的，现在也被移植到Linux和大多数的Unix类系统中，最新的Squid可以运行在Windows平台下。

Squid的arrayShrink()函数操控系统内存中所储存的缓存对象的HTTP头的方式存在漏洞，攻击者可以利用这个漏洞导致squid子进程退出，这会中断已有连接，导致代理服务不可以。Squid父进程会启动一个新的子进程，因此这种攻击仅会导致临时的拒绝服务。

漏洞公告

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.squid-cache.org/

参考网址

来源: www.debian.org 链接:http://www.debian.org/security/2008/dsa-1646

来源: GENTOO

名称: GLSA-200903-38

链接:http://security.gentoo.org/glsa/glsa-200903-38.xml

来源: SECUNIA

名称: 34467

链接:http://secunia.com/advisories/34467

来源: SECUNIA

名称: 32109

链接:http://secunia.com/advisories/32109

来源: MLIST

名称: [squid-announce[ 20080322 Advisory Squid-2007:2 updated

链接:http://marc.info/?l=squid-announce&m=120614453813157&w=2

来源: FEDORA

名称: FEDORA-2008-2740

链接:https://www.redhat.com/archives/fedora-package-announce/2008-April/msg00560.HTML

来源: XF

名称: squid-arrayshrink-dos(41586)

链接:http://xforce.iss.net/xforce/xfdb/41586

来源: UBUNTU

名称: USN-601-1

链接:http://www.ubuntu.com/usn/usn-601-1

来源: BID

名称: 28693

链接:http://www.securityfocus.com/bid/28693

来源: REDHAT

名称: RHSA-2008:0214

链接:http://www.redhat.com/support/errata/RHSA-2008-0214.HTML

来源: SECUNIA

名称: 30032

链接:http://secunia.com/advisories/30032

来源: SECUNIA

名称: 29813

链接:http://secunia.com/advisories/29813

来源: SECUNIA

名称: 27477

链接:http://secunia.com/advisories/27477

来源: SUSE

名称: SUSE-SR:2008:011

链接:http://lists.opensuse.org/opensuse-security-announce/2008-05/msg00000.HTML

受影响实体

• Squid Squid:2.6.Stable17  

补丁

暂无