CVE-2019-12524

Versões do Squid até a 4.7

Foi descoberta uma falha no Squid ao processar solicitações de usuários. O Squid verifica suas regras para determinar se a solicitação deve ser negada e, por padrão, inclui regras para bloquear o acesso ao Cache Manager, que fornece informações detalhadas do servidor destinadas ao administrador. Essa regra é implementada por meio de url regex. O manipulador das regras url regex descodifica a URL de uma solicitação recebida, permitindo que um invasor codifique sua URL para contornar a verificação url regex e obter acesso ao recurso bloqueado. A vulnerabilidade está relacionada à falta de um mecanismo de autenticação para url regex.

Para versões do Squid até a 4.7, considere desativar o manipulador url regex até que um patch esteja disponível para impedir que invasores contornem a verificação url regex. Restrinja o acesso ao Cache Manager para minimizar o risco de exploração. Evite usar a regra url regex para bloquear o acesso a recursos confidenciais até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.