CVE-2024-23638mediumCWE-825

CVE-2024-23638: falha de média gravidade em squid-cache squid

SQUID-2023:11 Denial of Service in Cache Manager

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar squid+ Monitorar squid

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

25Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.5epss 60%
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Afetado
2 produtos (8 componentes)
Red Hat Enterprise Linux 6 · Red Hat Enterprise Linux 7
workaround: Restrict entry to Cache Manager through Squid's primary access control: http_access deny manager
Corrigido
2 produtos (43 componentes)
Red Hat Enterprise Linux AppStream (v. 8) · Red Hat Enterprise Linux AppStream (v. 9)
correção ↗
Em resumo

Versões do Squid anteriores à 6.6 têm um bug de memória que derruba o Cache Manager ao gerar páginas de erro. Um usuário confiável pode explorar isso para causar indisponibilidade ao solicitar relatórios específicos.

Detalhe técnico

Uma referência de ponteiro expirado no Cache Manager do Squid causa uso de memória já liberada ao gerar respostas de erro. Um cliente confiável pode disparar isso via solicitações específicas ao Cache Manager, levando a falha do processo e indisponibilidade do serviço.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Squid is a caching proxy for the Web. Due to an expired pointer reference bug, Squid prior to version 6.6 is vulnerable to a Denial of Service attack against Cache Manager error responses. This problem allows a trusted client to perform Denial of Service when generating error pages for Client Manager reports. Squid older than 5.0.5 have not been tested and should be assumed to be vulnerable. All Squid-5.x up to and including 5.9 are vulnerable. All Squid-6.x up to and including 6.5 are vulnerable. This bug is fixed by Squid version 6.6. In addition, patches addressing this problem for the stable releases can be found in Squid's patch archives. As a workaround, prevent access to Cache Manager using Squid's main access control: `http_access deny manager`.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
squid-cache · squid
CVEs relacionadas — squid-cache squid

No mesmo produto, das mais perigosas para as menos.

CVE-2023-49285HIGHDenial of Service in HTTP Message Processing in SquidEPSS 88.1%CVE-2024-25617MEDIUMDenial of Service in HTTP Header parser in squid proxyEPSS 88.1%CVE-2024-25111HIGHSQUID-2024:1 Denial of Service in HTTP Chunked DecodingEPSS 65.3%CVE-2025-62168CRITICALSquid vulnerable to information disclosure via authentication credential leakage in error handlingEPSS 61.6%CVE-2023-50269HIGHSQUID-2023:10 Denial of Service in HTTP Request parsingEPSS 57.6%CVE-2024-45802HIGHSquid Denial of ServiceEPSS 47.9%