Oracle Linux 6：squid (ELSA-2013-0505)
medium Nessus 插件 ID 68745
语言：
简介
远程 Oracle Linux 主机缺少安全更新。描述
来自 Red Hat 安全公告 2013:0505：更新后的 squid 程序包修复了一个安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 6。
Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。
Squid 是用于 Web 客户端的高性能代理缓存服务器，支持 FTP、Gopher 和 HTTP 数据对象。
在 Squid Cache Manager 处理某些请求的方式中发现拒绝服务缺陷。能够访问 Cache Manager CGI 的远程攻击者可利用此缺陷导致 Squid 消耗过量内存。(CVE-2012-5643)
此更新还修复以下缺陷：
* 由于 ConnStateData::noteMoreBodySpaceAvailable() 函数中的缺陷，Squid 的子进程在遇到失败的断言时将会终止。已提供上游修补程序，Squid 子进程不再终止。(BZ#805879)
* 由于上游修补程序将 HTTP 标头控制持续连接从“Proxy-Connection”重命名为“Connection”，NTLM 传递认证无法运行，从而阻止登录。
此更新在 squid.conf 文件中新增了“http10”选项，可用于启用修补程序中的更改。此选项默认设置为“off”。当设置为“on”时，NTLM 传递认证可正常运行，从而允许登录尝试成功。(BZ#844723)
* 当 IPv6 协议禁用并且 Squid 尝试处理包含 IPv6 地址的 HTTP GET 请求时，Squid 子进程因信号 6 而终止。此缺陷已修复，这些请求现在可按预期处理。(BZ#832484)
* 旧“stale if hit”逻辑不考虑存储的过时响应因对源服务器重新验证成功而更新的情况。结果返回不正确的警告消息。现在，Squid 在所述的情况下不再将元素标记为过时。(BZ#847056)
* 如果 squid 程序包先于 samba-winbind 安装，则 wbpriv 群组不包含 Squid。结果，NTLM 认证调用失败。现在，如果 samba-winbind 先于 Squid 安装，Squid 会正确将自己添加到 wbpriv 群组，因此修复此缺陷。
(BZ#797571)
* 在 FIPS 模式中，Squid 对用户认证和网络访问使用专用 MD5 哈希函数。当 MD5 与 FIPS 模式不兼容时，Squid 可能无法启动。此更新将专用 MD5 函数的使用限于本地磁盘文件哈希标识符，从而允许 Squid 在 FIPS 模式中运行。(BZ#833086)
* 在系统负载高时，squid 进程在重新启动时可因分段错误而意外终止。此更新改善了重新启动时的内存处理，从而修复了此缺陷。
(BZ#782732)
* Squid 错误使用服务器端连接的值设置客户端 HTTP 连接的超时限制，该值大很多，从而造成不必要的延迟。通过此更新，Squid 对客户端超时限制使用正确的值。(BZ#798090)
* Squid 在生成错误页内容时不正常释放分配的内存，从而导致内存泄漏。结果，Squid 代理服务器在短时间内消耗大量内存。此更新修复了此内存泄漏。(BZ#758861)
* Squid 未将 ident 值传递给使用“url_rewrite_program”指令配置的 URL 重写器。因此， URL 重写器收到破折号（“–”）作为用户值，而不是收到正确的用户名。现在，URL 重写器在所述的情况下会收到正确的用户名。(BZ#797884)
* 用作透明代理的 Squid 只能处理 HTTP 协议。以前，可以定义其中的访问协议包含星号字符 (*) 或未知协议命名空间 URI 的 URL。因此，错误消息“Invalid URL”在重新加载时会记录到 access.log 中。此更新确保透明代理 URL 中始终使用“http://”，并且此情况下不再记录该错误消息。(BZ#720504)
建议所有 squid 用户升级这些更新后的程序包，其中修复了这些问题。安装此更新后，squid 服务将自动重新启动。
解决方案
更新受影响的 squid 程序包。另见
https://oss.oracle.com/pipermail/el-errata/2013-February/003282.html
插件详情
严重性: Medium
ID: 68745
文件名: oraclelinux_ELSA-2013-0505.nasl
版本: 1.11
类型: local
代理: unix
发布时间: 2013/7/12
最近更新时间: 2021/1/14
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Nessus
风险信息
VPR
风险因素: Low
分数: 3.6
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 3.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
漏洞信息
CPE: p-cpe:/a:oracle:linux:squid, cpe:/o:oracle:linux:6
必需的 KB 项: Host/local_checks_enabled, Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2013/2/25
漏洞发布日期: 2012/12/20
参考资料信息
CVE: CVE-2012-5643
BID: 56957
RHSA: 2013:0505