CVE-2023-49288highCWE-416

CVE-2023-49288: fallo de gravedad alta en squid-cache squid

Denial of Service in HTTP Collapsed Forwarding in Squid

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear squid+ Monitorear squid

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.6epss 4.8%
En resumen

Las versiones de Squid de 3.5 a 5.9 con el reenvío colapsado habilitado contienen un error de acceso a memoria que permite a atacantes derribar el servicio. Esta vulnerabilidad solo afecta sistemas que habilitan explícitamente el reenvío colapsado en la configuración.

Detalle técnico

Existe una vulnerabilidad use-after-free en el mecanismo de reenvío colapsado de Squid (CWE-416) al procesar solicitudes concurrentes al mismo recurso. Un atacante puede desencadenar corrupción de memoria mediante solicitudes especialmente diseñadas que causan acceso a memoria liberada, resultando en denegación de servicio. La vulnerabilidad requiere que la directiva collapsed_forwarding esté explícitamente habilitada en squid.conf.

Resumen generado y traducido por IA a partir de la descripción oficial.
Squid is a caching proxy for the Web supporting HTTP, HTTPS, FTP, and more. Affected versions of squid are subject to a a Use-After-Free bug which can lead to a Denial of Service attack via collapsed forwarding. All versions of Squid from 3.5 up to and including 5.9 configured with "collapsed_forwarding on" are vulnerable. Configurations with "collapsed_forwarding off" or without a "collapsed_forwarding" directive are not vulnerable. This bug is fixed by Squid version 6.0.1. Users are advised to upgrade. Users unable to upgrade should remove all collapsed_forwarding lines from their squid.conf.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
Productos afectados
squid-cache · squid
CVEs relacionadas — squid-cache squid

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-49285HIGHDenial of Service in HTTP Message Processing in SquidEPSS 88.1%CVE-2024-25617MEDIUMDenial of Service in HTTP Header parser in squid proxyEPSS 88.1%CVE-2024-25111HIGHSQUID-2024:1 Denial of Service in HTTP Chunked DecodingEPSS 65.3%CVE-2025-62168CRITICALSquid vulnerable to information disclosure via authentication credential leakage in error handlingEPSS 61.6%CVE-2024-23638MEDIUMSQUID-2023:11 Denial of Service in Cache ManagerEPSS 60.1%CVE-2023-50269HIGHSQUID-2023:10 Denial of Service in HTTP Request parsingEPSS 57.6%