Squid 安全公告 2015:1 报告：

通过 client-first SSL-bump 配置的 Squid 不会正确验证 X509 服务器证书域/主机名字段。

该缺陷很重要，因为它允许远程服务器绕过客户端证书验证。某些攻击者还可能可以使用由全局证书颁发机构为一个域签署的有效证书来滥用不相关的域。

但是，仅当将 Squid 配置为通过“client-first”或“bump”运行模式来执行 SSL Bumping 时才可利用该缺陷。

不使用 SSL-Bump 的站点不易受到影响。

所有未采用 SSL 支持而构建的 Squid 不易受到该问题的影响。

默认情况下，FreeBSD 端口不使用 SSL，且在默认配置下不容易受到影响。

Squid 已更新，修复了一个安全问题。

如果为 Squid HTTP Proxy 配置了 client-first SSL bumping，则不能正确验证服务器证书。(CVE-2015-3455)

发现使用 client-first SSL-bump 配置的 Squid 无法正确验证 X.509 服务器证书主机名字段。中间人攻击者可以利用此缺陷，使用特别构建的 X.509 证书假冒 Squid 服务器。(CVE-2015-3455)

此更新修复了以下缺陷：

- 以前，squid 进程接收到简单网络管理协议 (SNMP) 请求时无法正确处理文件描述符。因此，该进程会逐渐积累打开的文件描述符。
 此缺陷已修复，现在 squid 会正确处理 SNMP 请求，并根据需要关闭文件描述符。

- 如果系统负载较高，则 squid 进程有时会在重新启动过程中出现分段错误并意外终止。此更新改善了重新启动时的内存处理，从而修复了此缺陷。

安装此更新后，squid 服务将自动重新启动。

更新后的 squid 程序包修复了一个安全问题和两个缺陷，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Squid 是针对 Web 客户端的高性能代理缓存服务器，支持 FTP、Gopher 和 HTTP 数据对象。

发现使用 client-first SSL-bump 配置的 Squid 无法正确验证 X.509 服务器证书主机名字段。中间人攻击者可以利用此缺陷，使用特别构建的 X.509 证书假冒 Squid 服务器。(CVE-2015-3455)

此更新修复了以下缺陷：

* 以前，squid 进程接收到简单网络管理协议 (SNMP) 请求时无法正确处理文件描述符。因此，该进程会逐渐积累打开的文件描述符。此缺陷已修复，现在 squid 会正确处理 SNMP 请求，并根据需要关闭文件描述符。
(BZ#1198778)

* 如果系统负载较高，则 squid 进程有时会在重新启动过程中出现分段错误并意外终止。此更新改善了重新启动时的内存处理，从而修复了此缺陷。
(BZ#1225640)

建议 squid 用户升级这些更新后的程序包，其中修复了这些缺陷。安装此更新后，squid 服务将自动重新启动。

Squid HTTP 代理已更新至 3.3.14 版，修复了以下安全问题：

- 修复了 HTTP 响应处理过程中的多个拒绝服务问题。(CVE-2016-2569、CVE-2016-2570、CVE-2016-2571、CVE-2016-2572、bsc#968392、bsc#968393、bsc#968394、bsc#968395)

- CVE-2016-3947：pinger ICMPv6 处理过程中存在缓冲区溢出问题。(bsc#973782)

- CVE-2015-5400：不当保护替代路径。
 (bsc#938715)

- CVE-2015-3455：如果为 Squid http 代理配置了 client-first SSL bumping，则不能正确验证服务器证书。(bsc#929493)

- CVE-2016-3948：修复了 HTTP 响应处理过程中的拒绝服务问题 (bsc#973783)

- CVE-2016-4051：修复了 cachemgr.cgi 中的缓冲区溢出 (bsc#976553)

- CVE-2016-4052、CVE-2016-4053、CVE-2016-4054：修复了 ESI 处理过程中的多个问题 (bsc#976556)

- CVE-2016-4553：修复了 HTTP 请求处理过程中的缓存中毒问题 (bsc#979009)

- CVE-2016-4554：修复了 HTTP 请求处理过程中的标头走私问题 (bsc#979010)

- 修复了 ESI 响应处理过程中的多个拒绝服务问题。（CVE-2016-4555、CVE-2016-4556、bsc#979011、bsc#979008）

此外，还解决了以下非安全问题：

- 修复了脚本 unsquid.pl 中的标头大小。(bsc#902197)

- 在程序包中加入外部帮助程序 ext_session_acl。
 (bsc#959290)

- 更新 forward_max_tries 以支持使用 25 个服务器路径 随着云网站越来越受欢迎，有越来越多的 CDN 服务器会生成 IPv6 和 IPv4 地址的长列表。如果没有选择足够的路径，IPv4 地址可能无法访问。

- squid.init：等待我们通过升级将 Squid 杀死（而非提前宣告其死亡）后其才会真正死亡 (bnc#963539)

此更新从 SUSE:SLE-12:Update 更新项目导入。

更新后的 squid 程序包修复了安全漏洞：

使用 client-first SSL-bump 配置的 Squid 未正确验证 X509 服务器证书域/主机名字段 (CVE-2015-3455)。

Squid HTTP 代理已更新至 3.3.14 版，修复了以下安全问题：

- 修复了 HTTP 响应处理过程中的多个拒绝服务问题。(CVE-2016-2569、CVE-2016-2570、CVE-2016-2571、CVE-2016-2572、bsc#968392、bsc#968393、bsc#968394、bsc#968395)

- CVE-2016-3947：pinger ICMPv6 处理过程中存在缓冲区溢出问题。(bsc#973782)

- CVE-2015-5400：不当保护替代路径。
 (bsc#938715)

- CVE-2015-3455：如果为 Squid http 代理配置了 client-first SSL bumping，则不能正确验证服务器证书。(bsc#929493)

- CVE-2016-3948：修复了 HTTP 响应处理过程中的拒绝服务问题 (bsc#973783)

- CVE-2016-4051：修复了 cachemgr.cgi 中的缓冲区溢出 (bsc#976553)

- CVE-2016-4052、CVE-2016-4053、CVE-2016-4054：修复了 ESI 处理过程中的多个问题 (bsc#976556)

- CVE-2016-4553：修复了 HTTP 请求处理过程中的缓存中毒问题 (bsc#979009)

- CVE-2016-4554：修复了 HTTP 请求处理过程中的标头走私问题 (bsc#979010)

- 修复了 ESI 响应处理过程中的多个拒绝服务问题。（CVE-2016-4555、CVE-2016-4556、bsc#979011、bsc#979008）另外，还修复了以下非安全问题：

- 修复了脚本 unsquid.pl 中的标头大小。(bsc#902197)

- 在程序包中加入外部帮助程序 ext_session_acl。
 (bsc#959290)

- 更新 forward_max_tries 以支持使用 25 个服务器路径 随着云网站越来越受欢迎，有越来越多的 CDN 服务器会生成 IPv6 和 IPv4 地址的长列表。如果没有选择足够的路径，IPv4 地址可能无法访问。

- squid.init：等待我们通过升级将 Squid 杀死（而非提前宣告其死亡）后其才会真正死亡 (bnc#963539)

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

根据其标题，远程主机上运行的 Squid 版本为低于 3.2.14 / 3.3.14 / 3.4.13 / 3.5.4 的 3.2。因此，由于服务器主机名称未验证为匹配证书主题公用名 (CN) 或 SubjectAltName 字段中的域名，它可能受到与证书验证相关的缺陷的影响。中间人攻击者可利用此缺陷，通过使用构建的证书欺骗 TLS/SSL 服务器，从而导致泄露或操纵拦截数据。请注意，仅当将 Squid 配置为通过“client-first”或“bump”操作模式来执行 SSL 升级时才可利用此缺陷。

请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。发布用于处理问题的修补程序不会更新标题中的版本。如果已正确安装修补程序且服务已重新启动，请将此视为误报。

来自 Red Hat 安全公告 2015:2378：

更新后的 squid 程序包修复了一个安全问题和两个缺陷，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Squid 是针对 Web 客户端的高性能代理缓存服务器，支持 FTP、Gopher 和 HTTP 数据对象。

发现使用 client-first SSL-bump 配置的 Squid 无法正确验证 X.509 服务器证书主机名字段。中间人攻击者可以利用此缺陷，使用特别构建的 X.509 证书假冒 Squid 服务器。(CVE-2015-3455)

此更新修复了以下缺陷：

* 以前，squid 进程接收到简单网络管理协议 (SNMP) 请求时无法正确处理文件描述符。因此，该进程会逐渐积累打开的文件描述符。此缺陷已修复，现在 squid 会正确处理 SNMP 请求，并根据需要关闭文件描述符。
(BZ#1198778)

* 如果系统负载较高，则 squid 进程有时会在重新启动过程中出现分段错误并意外终止。此更新改善了重新启动时的内存处理，从而修复了此缺陷。
(BZ#1225640)

建议 squid 用户升级这些更新后的程序包，其中修复了这些缺陷。安装此更新后，squid 服务将自动重新启动。

CVE-2016-2571、CVE-2016-2572 的安全补丁 ---- squid-3.4.13-3.fc22
- 解决了：#1231992 ---- #1240741、#1240744 的安全补丁 已更新到版本 3.4.13，修复了 CVE-2015-3455

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
84555	FreeBSD：squid -- client-first SSL-bump 不会正确验证 X509 服务器证书 (b6da24da-23f7-11e5-a4a5-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/7/7	2021/1/6	low
85927	openSUSE 安全更新：squid (openSUSE-2015-581)	Nessus	SuSE Local Security Checks	2015/9/14	2021/1/19	low
87574	Scientific Linux 安全更新：SL7.x x86_64 中的 squid	Nessus	Scientific Linux Local Security Checks	2015/12/22	2021/1/14	low
87154	CentOS 7：squid (CESA-2015:2378)	Nessus	CentOS Local Security Checks	2015/12/2	2021/1/4	low
92994	openSUSE 安全更新：squid (openSUSE-2016-988)	Nessus	SuSE Local Security Checks	2016/8/17	2021/1/19	high
83276	Mandriva Linux 安全公告：squid (MDVSA-2015:230)	Nessus	Mandriva Local Security Checks	2015/5/7	2021/1/14	low
93279	SUSE SLES12 安全更新：squid (SUSE-SU-2016:2008-1)	Nessus	SuSE Local Security Checks	2016/9/2	2021/1/6	high
83529	Squid 3.2 < 3.5.4 错误 X509 服务器证书验证漏洞	Nessus	Firewalls	2015/5/19	2019/11/22	low
86986	RHEL 7：squid (RHSA-2015:2378)	Nessus	Red Hat Local Security Checks	2015/11/20	2019/10/24	low
87037	Oracle Linux 7：squid (ELSA-2015-2378)	Nessus	Oracle Linux Local Security Checks	2015/11/24	2021/1/14	low
90960	Fedora 22：libecap-1.0.0-1.fc22 / squid-3.5.10-1.fc22 (2016-7b40eb9e29)	Nessus	Fedora Local Security Checks	2016/5/9	2021/1/11	medium

检测

插件搜索

low

low

low

low

high

low

high

low

low

low

medium