Squid HTCP支持选项无法动态调整漏洞

QQ空间 新浪微博 微信 QQ facebook twitter
漏洞ID 1204703 漏洞类型 设计错误
发布时间 2002-02-21 更新时间 2005-10-12
CVE编号 CVE-2002-0067 CNNVD-ID CNNVD-200203-018
漏洞平台 N/A CVSS评分 7.5
|漏洞来源
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-200203-018
|漏洞详情
Squid是一个运行于Linux/Unix系统下的Web服务代理程序,它提供了对超文本缓冲协议的支持(HyperTextCachingProtocol),HTCP在RFC2756中有定义,用于提供对缓存的管理。在大多数默认安装情况下,这个支持选项是关闭的,但在编译时指定'--enable-htcp'选项则可以打开此缓冲功能的支持。Squid实现上存在一个问题,使Squid的使用者无法在程序运行时配置HTCP支持选项的打开和关闭。虽然在Squid的文档中说明了对HTCP的是否支持可以在Squid的配置文件中指定,然而实际情况是HTCP支持选项一旦被编译进Squid,对HTCP的支持就一直处于打开状态。这导致在Squid运行期间管理员无法控制此支持选项的打开或关闭状态,即使在squid.conf中设置了"htcp_port0"。这可能导致攻击者绕过预期的访问限制。
|参考资料
resource:
hyperlink:ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-02:12.squid.asc
resource:
hyperlink:http://archives.neohapsis.com/archives/linux/caldera/2002-q1/0014.html
resource:
hyperlink:http://distro.conectiva.com.br/atualizacoes/?id=a&anuncio=000464
resource:
hyperlink:http://marc.info/?l=bugtraq&m=101431040422095&w=2
resource:
hyperlink:http://marc.info/?l=bugtraq&m=101443252627021&w=2
resource:
hyperlink:http://www.iss.net/security_center/static/8261.php
resource:
hyperlink:http://www.linux-mandrake.com/en/security/2002/MDKSA-2002-016.php
resource:Patch
hyperlink:http://www.redhat.com/support/errata/RHSA-2002-029.html
resource:
hyperlink:http://www.securityfocus.com/bid/4150
resource:Patch
hyperlink:http://www.squid-cache.org/Versions/v2/2.4/bugs/