Drei Schwachstellen in Web-Proxy Squid

Die Entwickler des HTTP-Proxy Squid haben einen Patch für Version 2.5 veröffentlicht, der eine Schwachstelle beim Parsen von HTTP-Headern beseitigt. Ein Angreifer kann mit dem Senden mehrerer Content-Length-Header in Kombination mit bestimmten Anfragen den Cache des Proxy durcheinander bringen. Anwender bekommen dann unter Umständen falsche Seiten vom Proxy ausgeliefert. Nährere Angaben machen die Entwickler nicht. Als Workaround soll das Deaktivieren persistenter Verbindungen helfen.

Zudem gibt es einen Patch, um eine Schwachstelle in WCCP, dem Web Cache Communication Protocol, zu schließen. Bestimmte Pakete bringen den Cache zum Absturz. Standardmäßig ist WCCP deaktiviert. Auch der Gopher-Proxy enhält einen Fehler. Zu lange Antworten eines Gopher-Servers verursachen einen Buffer Overflow. Ob dies zum Absturz des Moduls führt oder auch zum Einschleusen von Code geeignet ist, geben die Entwickler nicht an, ein Patch stopft aber die Lücke. Da der schon ziemlich betagte Informationsdienst Gopher so gut wie nicht mehr benutzt wird, empfehlen die Entwickler als Workaround die Verbindung zu solchen Servern zu unterbinden. Als ACL-Regel führen sie folgendes Beispiel an:

acl Gopher proto gopher
http_access deny Gopher

Siehe dazu auch: (dab)

• Reject malformed HTTP requests and responses that conflict with the HTTP specifications auf Squid-cache.org
• Denial of service by forged WCCP messages auf Squid-cache.org
• Buffer overflow in Gopher reply parser auf Squid-cache.org