CVE-2020-11945
Kritik
Açıklama
Squid'in 5.0.2 öncesindeki sürümlerinde bir sorun keşfedilmiştir. Uzak bir saldırgan, normalde yasak olan kaynaklara erişim sağlamak için koklanmış bir Digest Authentication nonce değerini yeniden oynatabilir. Bu durum, saldırganın nonce referans sayacını (kısa tamsayı) taşırması nedeniyle meydana gelir. Havuzlanmış belirteç kimlik bilgileri (geçerli kimlik bilgileri olarak yeniden oynatılmak yerine) serbest bırakılırsa uzaktan kod çalıştırma gerçekleşebilir.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
Ürün
Squid
Yayın23 Nis 2020
İlk görülme23 Nis 2020
Nasıl düzeltilir
Güncelleyin
- squid-cache squid4.11, 5.0.2 ya da sonraki bir sürüm
Üretici duyuruları
- debian.org/security/2020/dsa-4682
- security.gentoo.org/glsa/202005-05
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/4FWQRYZJPHAZBLXJ56FPCHJN5X2FP3VA/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/RV2VZWFJNO3B56IVN56HHKJASG5DYUIX/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/H4MWXEZAJSOGRJSS2JCJK4WBSND4IV46/
- usn.ubuntu.com/4356-1/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| squid-cache squid | 3.0 ≤ v ≤ 3.5.28, 4.0 ≤ v < 4.11, 5.0 ≤ v < 5.0.2 | 4.11, 5.0.2 |
| debian debian_linux | 9.0, 10.0 | — |
| opensuse leap | 15.1 | — |
| fedoraproject fedora | 30, 31, 32 | — |
| canonical ubuntu_linux | 16.04, 18.04, 19.10, 20.04 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.