CVE-2024-25111
SQUID-2024:1 Denial of Service in HTTP Chunked Decoding
Em resumo
O Squid, um servidor proxy web, tem uma falha que permite a um atacante remoto derrubá-lo enviando mensagens HTTP com codificação em chunks (pedaços) especialmente construídas. Isso causa uma parada de serviço (denial of service) nas versões 3.5.27 até 6.7.
Detalhe técnico
CVE-2024-25111 explora recursão descontrolada no decodificador de transferência chunked do Squid (CWE-674). Um atacante remoto pode enviar uma mensagem HTTP chunked malformada que desencadeia chamadas recursivas sem limites de profundidade, causando esgotamento de memória e negação de serviço. Versões 3.5.27 até 6.7 são afetadas; correção disponível na versão 6.8.
Resumo gerado e traduzido por IA a partir da descrição oficial.
Squid is a web proxy cache. Starting in version 3.5.27 and prior to version 6.8, Squid may be vulnerable to a Denial of Service attack against HTTP Chunked decoder due to an uncontrolled recursion bug. This problem allows a remote attacker to cause Denial of Service when sending a crafted, chunked, encoded HTTP Message. This bug is fixed in Squid version 6.8. In addition, patches addressing this problem for the stable releases can be found in Squid's patch archives. There is no workaround for this issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
Produtos afetados
squid-cache · squidQuer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →Referências
https://github.com/squid-cache/squid/security/advisories/GHSA-72c2-c3wm-8qxchttps://lists.debian.org/debian-lts-announce/2025/03/msg00009.htmlhttps://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/7R4KPSO3MQT3KAOZV7LC2GG3CYMCGK7H/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/XWQHRDRHDM5PQTU6BHH4C5KGL37X6TVI/https://security.netapp.com/advisory/ntap-20240605-0001/http://www.squid-cache.org/Versions/v6/SQUID-2024_1.patch