CVE-2026-33515mediumCWE-125CWE-1289

CVE-2026-33515: falha de média gravidade em squid-cache squid

Squid has issues in ICP message handling

Publicada em

Seguir esta CVE+ Monitorar squid+ Monitorar squid

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.9epss 1.1%
Em resumo

O Squid pode vazar pequenas quantidades de memória ao processar mensagens ICP malformadas, potencialmente expondo dados sensíveis. Isso afeta apenas sistemas que têm suporte ICP ativado explicitamente.

Detalhe técnico

Leitura fora dos limites no manipulador de mensagens ICP do Squid (CWE-125, CWE-1289) causada por validação de entrada inadequada. Um invasor remoto pode disparar vazamento de memória enviando requisições ICP construídas para sistemas com icp_port não-zero; o impacto limita-se a pequenos vazamentos de memória, mas podem conter informações sensíveis. Regras icp_access não mitigam essa vulnerabilidade.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Squid is a caching proxy for the Web. Prior to version 7.5, due to improper input validation, Squid is vulnerable to out of bounds read when handling ICP traffic. This problem allows a remote attacker to receive small amounts of memory potentially containing sensitive information when responding with errors to invalid ICP requests. This attack is limited to Squid deployments that explicitly enable ICP support (i.e. configure non-zero `icp_port`). This problem cannot be mitigated by denying ICP queries using `icp_access` rules. Version 7.5 contains a patch.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:L/SI:N/SA:N
Produtos afetados
squid-cache · squid
CVEs relacionadas — squid-cache squid

No mesmo produto, das mais perigosas para as menos.

CVE-2023-49285HIGHDenial of Service in HTTP Message Processing in SquidEPSS 88.1%CVE-2024-25617MEDIUMDenial of Service in HTTP Header parser in squid proxyEPSS 88.1%CVE-2024-25111HIGHSQUID-2024:1 Denial of Service in HTTP Chunked DecodingEPSS 65.3%CVE-2025-62168CRITICALSquid vulnerable to information disclosure via authentication credential leakage in error handlingEPSS 61.6%CVE-2024-23638MEDIUMSQUID-2023:11 Denial of Service in Cache ManagerEPSS 60.1%CVE-2023-50269HIGHSQUID-2023:10 Denial of Service in HTTP Request parsingEPSS 57.6%