FreeBSD:squid -- client-first SSL-bump 不会正确验证 X509 服务器证书 (b6da24da-23f7-11e5-a4a5-002590263bf5)

low Nessus 插件 ID 84555
全新!插件严重性现在使用 CVSS v3

计算的插件严重性默认已更新为使用 CVSS v3。没有 CVSS v3 分数的插件将回退到 CVSS v2 来计算严重性。可以在设置下拉列表中切换严重性显示首选项。

简介

远程 FreeBSD 主机缺少一个或多个与安全有关的更新。

描述

Squid 安全公告 2015:1 报告:

通过 client-first SSL-bump 配置的 Squid 不会正确验证 X509 服务器证书域/主机名字段。

该缺陷很重要,因为它允许远程服务器绕过客户端证书验证。某些攻击者还可能可以使用由全局证书颁发机构为一个域签署的有效证书来滥用不相关的域。

但是,仅当将 Squid 配置为通过“client-first”或“bump”运行模式来执行 SSL Bumping 时才可利用该缺陷。

不使用 SSL-Bump 的站点不易受到影响。

所有未采用 SSL 支持而构建的 Squid 不易受到该问题的影响。

默认情况下,FreeBSD 端口不使用 SSL,且在默认配置下不容易受到影响。

解决方案

更新受影响的数据包。

另见

http://www.squid-cache.org/Advisories/SQUID-2015_1.txt

http://www.nessus.org/u?bd26f4c0

插件详情

严重性: Low

ID: 84555

文件名: freebsd_pkg_b6da24da23f711e5a4a5002590263bf5.nasl

版本: 2.5

类型: local

发布时间: 2015/7/7

最近更新时间: 2021/1/6

依存关系: ssh_get_info.nasl

风险信息

VPR

风险因素: Low

分数: 3.6

CVSS v2

风险因素: Low

基本分数: 2.6

矢量: AV:N/AC:H/Au:N/C:N/I:P/A:N

漏洞信息

CPE: p-cpe:/a:freebsd:freebsd:squid, p-cpe:/a:freebsd:freebsd:squid32, p-cpe:/a:freebsd:freebsd:squid33, cpe:/o:freebsd:freebsd

必需的 KB 项: Host/local_checks_enabled, Host/FreeBSD/release, Host/FreeBSD/pkg_info

补丁发布日期: 2015/7/6

漏洞发布日期: 2015/5/1

参考资料信息

CVE: CVE-2015-3455