CVE-2026-32748highCWE-413CWE-416CWE-826

CVE-2026-32748: falha de alta gravidade em squid-cache squid

Squid has Denial of Service in ICP Response handling

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar squid+ Monitorar squid

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.7epss 9.1%
Em resumo

O Squid, versão anterior à 7.5, tem falhas de memória no tratamento do protocolo ICP que permitem que atacantes derrubem o serviço. Um invasor pode forçar indisponibilidade enviando tráfego ICP especialmente construído.

Detalhe técnico

A vulnerabilidade resulta de liberação prematura de recursos e uso-após-liberação em heap (CWE-413, CWE-416, CWE-826) no processamento de respostas ICP. Um atacante remoto consegue disparar negação de serviço enviando pacotes do protocolo ICP para instâncias Squid com icp_port ativada; requer configuração explícita de ICP e não pode ser mitigada apenas com regras icp_access.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Squid is a caching proxy for the Web. Prior to version 7.5, due to premature release of resource during expected lifetime and heap Use-After-Free bugs, Squid is vulnerable to Denial of Service when handling ICP traffic. This problem allows a remote attacker to perform a reliable and repeatable Denial of Service attack against the Squid service using ICP protocol. This attack is limited to Squid deployments that explicitly enable ICP support (i.e. configure non-zero `icp_port`). This problem _cannot_ be mitigated by denying ICP queries using `icp_access` rules. This bug is fixed in Squid version 7.5.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:L
Produtos afetados
squid-cache · squid
CVEs relacionadas — squid-cache squid

No mesmo produto, das mais perigosas para as menos.

CVE-2023-49285HIGHDenial of Service in HTTP Message Processing in SquidEPSS 88.1%CVE-2024-25617MEDIUMDenial of Service in HTTP Header parser in squid proxyEPSS 88.1%CVE-2024-25111HIGHSQUID-2024:1 Denial of Service in HTTP Chunked DecodingEPSS 65.3%CVE-2025-62168CRITICALSquid vulnerable to information disclosure via authentication credential leakage in error handlingEPSS 61.6%CVE-2024-23638MEDIUMSQUID-2023:11 Denial of Service in Cache ManagerEPSS 60.1%CVE-2023-50269HIGHSQUID-2023:10 Denial of Service in HTTP Request parsingEPSS 57.6%