漏洞标题
SQUID-2023:4 SSL证书验证中的拒绝服务漏洞
漏洞描述信息
## 漏洞概述
Squid 是一款用于 Web 的缓存代理服务器。由于存在一个“指定索引验证不当”的漏洞，攻击者可以通过发起特制的 SSL 证书导致 Squid 代理服务器发生 DoS 攻击。
## 影响版本
Squid 版本从 3.3.0.1 至 5.9 和 6.0 版本（6.4 之前）并使用 `--with-openssl` 编译的版本受到影响。
## 漏洞细节
受影响的 Squid 版本在处理 SSL 证书验证时存在缺陷，允许远程服务器通过在服务器证书链中发起特制的 TLS 握手来对 Squid 代理执行 DoS 攻击。此漏洞仅限于 HTTPS 和 SSL-Bump 场景。
## 影响
攻击者可以通过发送特制 SSL 证书执行 DoS 攻击，导致 Squid 停止正常工作。这可能会影响依赖于 Squid 的服务的可用性。
## 修复
该漏洞在 Squid 6.4 版本中修复。此外，为稳定发行版提供的补丁可以在 Squid 的补丁库中找到。使用预打包版本 Squid 的用户应咨询其包供应商以获取更新版本的信息。
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
漏洞类别
证书验证不恰当
漏洞标题
SQUID-2023:4 Denial of Service in SSL Certificate validation
漏洞描述信息
Squid is a caching proxy for the Web. Due to an Improper Validation of Specified Index bug, Squid versions 3.3.0.1 through 5.9 and 6.0 prior to 6.4 compiled using `--with-openssl` are vulnerable to a Denial of Service attack against SSL Certificate validation. This problem allows a remote server to perform Denial of Service against Squid Proxy by initiating a TLS Handshake with a specially crafted SSL Certificate in a server certificate chain. This attack is limited to HTTPS and SSL-Bump. This bug is fixed in Squid version 6.4. In addition, patches addressing this problem for the stable releases can be found in Squid's patch archives. Those who you use a prepackaged version of Squid should refer to the package vendor for availability information on updated packages.
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
漏洞类别
跨界内存读
漏洞标题
Squid 信任管理问题漏洞
漏洞描述信息
Squid是一套代理服务器和Web缓存服务器软件。该软件提供缓存万维网、过滤流量、代理上网等功能。 Squid 6.4之前版本存在安全漏洞，该漏洞源于指定索引错误验证不正确，容易受到针对SSL证书验证的拒绝服务攻击。
CVSS信息
N/A
漏洞类别
信任管理问题