CVE-2023-46724highCWE-125CWE-1285CWE-129CWE-786CWE-823

CVE-2023-46724: falha de alta gravidade em squid-cache squid

SQUID-2023:4 Denial of Service in SSL Certificate validation

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar squid+ Monitorar squid

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.6epss 2.8%
Em resumo

O Squid (proxy web) pode ser desligado ao receber certificados SSL malformados durante conexões HTTPS. Um servidor remoto consegue causar isso intencionalmente, deixando o proxy indisponível.

Detalhe técnico

Validação inadequada de índices no Squid compilado com OpenSSL (versões 3.3.0.1–5.9, 6.0–6.3) permite que atacantes remotos causem negação de serviço enviando uma cadeia de certificados SSL manipulada no handshake TLS. O vetor de ataque requer modo HTTPS ou SSL-Bump; o impacto é travamento ou indisponibilidade do proxy.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Squid is a caching proxy for the Web. Due to an Improper Validation of Specified Index bug, Squid versions 3.3.0.1 through 5.9 and 6.0 prior to 6.4 compiled using `--with-openssl` are vulnerable to a Denial of Service attack against SSL Certificate validation. This problem allows a remote server to perform Denial of Service against Squid Proxy by initiating a TLS Handshake with a specially crafted SSL Certificate in a server certificate chain. This attack is limited to HTTPS and SSL-Bump. This bug is fixed in Squid version 6.4. In addition, patches addressing this problem for the stable releases can be found in Squid's patch archives. Those who you use a prepackaged version of Squid should refer to the package vendor for availability information on updated packages.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
Produtos afetados
squid-cache · squid
CVEs relacionadas — squid-cache squid

No mesmo produto, das mais perigosas para as menos.

CVE-2023-49285HIGHDenial of Service in HTTP Message Processing in SquidEPSS 88.1%CVE-2024-25617MEDIUMDenial of Service in HTTP Header parser in squid proxyEPSS 88.1%CVE-2024-25111HIGHSQUID-2024:1 Denial of Service in HTTP Chunked DecodingEPSS 65.3%CVE-2025-62168CRITICALSquid vulnerable to information disclosure via authentication credential leakage in error handlingEPSS 61.6%CVE-2024-23638MEDIUMSQUID-2023:11 Denial of Service in Cache ManagerEPSS 60.1%CVE-2023-50269HIGHSQUID-2023:10 Denial of Service in HTTP Request parsingEPSS 57.6%