CVE-2026-33526criticalCWE-416CWE-825CWE-826

CVE-2026-33526: falha crítica em squid-cache squid

Squid vulnerable to Denial of Service in ICP Request handling

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar squid+ Monitorar squid

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

28Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 9.2epss 9.1%
Em resumo

O Squid anterior à versão 7.5 tem um erro de memória que desativa o serviço ao receber certas mensagens do protocolo ICP, permitindo que atacantes derrubem o proxy. Isso afeta apenas instalações que têm ICP habilitado.

Detalhe técnico

Uma vulnerabilidade use-after-free (CWE-416) no tratamento de requisições ICP permite que atacantes remotos causem negação de serviço enviando pacotes ICP modificados para a porta configurada (icp_port). A falha não pode ser mitigada com regras icp_access e requer Squid 7.5+ ou desabilitação completa do ICP.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Squid is a caching proxy for the Web. Prior to version 7.5, due to heap Use-After-Free, Squid is vulnerable to Denial of Service when handling ICP traffic. This problem allows a remote attacker to perform a reliable and repeatable Denial of Service attack against the Squid service using ICP protocol. This attack is limited to Squid deployments that explicitly enable ICP support (i.e. configure non-zero `icp_port`). This problem _cannot_ be mitigated by denying ICP queries using `icp_access` rules. Version 7.5 contains a patch.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H
Produtos afetados
squid-cache · squid
CVEs relacionadas — squid-cache squid

No mesmo produto, das mais perigosas para as menos.

CVE-2023-49285HIGHDenial of Service in HTTP Message Processing in SquidEPSS 88.1%CVE-2024-25617MEDIUMDenial of Service in HTTP Header parser in squid proxyEPSS 88.1%CVE-2024-25111HIGHSQUID-2024:1 Denial of Service in HTTP Chunked DecodingEPSS 65.3%CVE-2025-62168CRITICALSquid vulnerable to information disclosure via authentication credential leakage in error handlingEPSS 64.8%CVE-2024-23638MEDIUMSQUID-2023:11 Denial of Service in Cache ManagerEPSS 60.1%CVE-2023-50269HIGHSQUID-2023:10 Denial of Service in HTTP Request parsingEPSS 57.6%