CVE-2024-25111highCWE-674

CVE-2024-25111: falha de alta gravidade em squid-cache squid

SQUID-2024:1 Denial of Service in HTTP Chunked Decoding

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar squid+ Monitorar squid

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

33Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.6epss 65%
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Corrigido
12 produtos (197 componentes)
Red Hat Enterprise Linux AppStream (v. 8) · Red Hat Enterprise Linux AppStream EUS (v.8.6) · Red Hat Enterprise Linux AppStream EUS (v.8.8) · Red Hat Enterprise Linux AppStream E4S (v. 8.2) · Red Hat Enterprise Linux AppStream E4S (v.8.4) · e outros 7
correção ↗
Não afetado
2 produtos (8 componentes) — porque o código vulnerável não está presente no produto
Red Hat Enterprise Linux 6 · Red Hat Enterprise Linux 7
Em resumo

O Squid, um servidor proxy web, tem uma falha que permite a um atacante remoto derrubá-lo enviando mensagens HTTP com codificação em chunks (pedaços) especialmente construídas. Isso causa uma parada de serviço (denial of service) nas versões 3.5.27 até 6.7.

Detalhe técnico

CVE-2024-25111 explora recursão descontrolada no decodificador de transferência chunked do Squid (CWE-674). Um atacante remoto pode enviar uma mensagem HTTP chunked malformada que desencadeia chamadas recursivas sem limites de profundidade, causando esgotamento de memória e negação de serviço. Versões 3.5.27 até 6.7 são afetadas; correção disponível na versão 6.8.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Squid is a web proxy cache. Starting in version 3.5.27 and prior to version 6.8, Squid may be vulnerable to a Denial of Service attack against HTTP Chunked decoder due to an uncontrolled recursion bug. This problem allows a remote attacker to cause Denial of Service when sending a crafted, chunked, encoded HTTP Message. This bug is fixed in Squid version 6.8. In addition, patches addressing this problem for the stable releases can be found in Squid's patch archives. There is no workaround for this issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
Produtos afetados
squid-cache · squid
CVEs relacionadas — squid-cache squid

No mesmo produto, das mais perigosas para as menos.

CVE-2023-49285HIGHDenial of Service in HTTP Message Processing in SquidEPSS 88.1%CVE-2024-25617MEDIUMDenial of Service in HTTP Header parser in squid proxyEPSS 88.1%CVE-2025-62168CRITICALSquid vulnerable to information disclosure via authentication credential leakage in error handlingEPSS 64.8%CVE-2024-23638MEDIUMSQUID-2023:11 Denial of Service in Cache ManagerEPSS 60.1%CVE-2023-50269HIGHSQUID-2023:10 Denial of Service in HTTP Request parsingEPSS 57.6%CVE-2024-45802HIGHSquid Denial of ServiceEPSS 47.9%