CVE-2023-46724highCWE-125CWE-1285CWE-129CWE-786CWE-823

CVE-2023-46724: fallo de gravedad alta en squid-cache squid

SQUID-2023:4 Denial of Service in SSL Certificate validation

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear squid+ Monitorear squid

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.6epss 2.8%
En resumen

Squid es vulnerable a caídas del servicio cuando procesa certificados SSL malformados en conexiones HTTPS. Un servidor remoto puede explotar esto para inhabilitar el proxy.

Detalle técnico

Validación impropia de índices en Squid compilado con OpenSSL (versiones 3.3.0.1–5.9, 6.0–6.3) permite que atacantes remotos causen denegación de servicio enviando una cadena de certificados SSL manipulada durante el handshake TLS. El vector de ataque requiere modo HTTPS o SSL-Bump; el impacto es el bloqueo o indisponibilidad del proxy.

Resumen generado y traducido por IA a partir de la descripción oficial.
Squid is a caching proxy for the Web. Due to an Improper Validation of Specified Index bug, Squid versions 3.3.0.1 through 5.9 and 6.0 prior to 6.4 compiled using `--with-openssl` are vulnerable to a Denial of Service attack against SSL Certificate validation. This problem allows a remote server to perform Denial of Service against Squid Proxy by initiating a TLS Handshake with a specially crafted SSL Certificate in a server certificate chain. This attack is limited to HTTPS and SSL-Bump. This bug is fixed in Squid version 6.4. In addition, patches addressing this problem for the stable releases can be found in Squid's patch archives. Those who you use a prepackaged version of Squid should refer to the package vendor for availability information on updated packages.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
Productos afectados
squid-cache · squid
CVEs relacionadas — squid-cache squid

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-49285HIGHDenial of Service in HTTP Message Processing in SquidEPSS 88.1%CVE-2024-25617MEDIUMDenial of Service in HTTP Header parser in squid proxyEPSS 88.1%CVE-2024-25111HIGHSQUID-2024:1 Denial of Service in HTTP Chunked DecodingEPSS 65.3%CVE-2025-62168CRITICALSquid vulnerable to information disclosure via authentication credential leakage in error handlingEPSS 61.6%CVE-2024-23638MEDIUMSQUID-2023:11 Denial of Service in Cache ManagerEPSS 60.1%CVE-2023-50269HIGHSQUID-2023:10 Denial of Service in HTTP Request parsingEPSS 57.6%