CVE-2024-23638mediumCWE-825

CVE-2024-23638: fallo de gravedad media en squid-cache squid

SQUID-2023:11 Denial of Service in Cache Manager

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear squid+ Monitorear squid

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

25Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.5epss 60%
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
2 productos (8 componentes)
Red Hat Enterprise Linux 6 · Red Hat Enterprise Linux 7
workaround: Restrict entry to Cache Manager through Squid's primary access control: http_access deny manager
Corregido
2 productos (43 componentes)
Red Hat Enterprise Linux AppStream (v. 8) · Red Hat Enterprise Linux AppStream (v. 9)
corrección ↗
En resumen

Versiones de Squid anteriores a 6.6 tienen un error de memoria que derriba el Cache Manager al generar páginas de error. Un usuario confiable puede explotar esto para causar negación de servicio solicitando reportes específicos.

Detalle técnico

Una referencia de puntero expirado en el Cache Manager de Squid causa uso de memoria liberada al generar respuestas de error. Un cliente confiable puede disparar esto mediante solicitudes específicas al Cache Manager, provocando fallo del proceso e indisponibilidad del servicio.

Resumen generado y traducido por IA a partir de la descripción oficial.
Squid is a caching proxy for the Web. Due to an expired pointer reference bug, Squid prior to version 6.6 is vulnerable to a Denial of Service attack against Cache Manager error responses. This problem allows a trusted client to perform Denial of Service when generating error pages for Client Manager reports. Squid older than 5.0.5 have not been tested and should be assumed to be vulnerable. All Squid-5.x up to and including 5.9 are vulnerable. All Squid-6.x up to and including 6.5 are vulnerable. This bug is fixed by Squid version 6.6. In addition, patches addressing this problem for the stable releases can be found in Squid's patch archives. As a workaround, prevent access to Cache Manager using Squid's main access control: `http_access deny manager`.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Productos afectados
squid-cache · squid
CVEs relacionadas — squid-cache squid

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-49285HIGHDenial of Service in HTTP Message Processing in SquidEPSS 88.1%CVE-2024-25617MEDIUMDenial of Service in HTTP Header parser in squid proxyEPSS 88.1%CVE-2024-25111HIGHSQUID-2024:1 Denial of Service in HTTP Chunked DecodingEPSS 65.3%CVE-2025-62168CRITICALSquid vulnerable to information disclosure via authentication credential leakage in error handlingEPSS 64.8%CVE-2023-50269HIGHSQUID-2023:10 Denial of Service in HTTP Request parsingEPSS 57.6%CVE-2024-45802HIGHSquid Denial of ServiceEPSS 47.9%