S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 10 juin 2005 No CERTA-2005-AVI-084-006

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Squid

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Déni de service.

2 Systèmes affectés

Versions antérieures à Squid 2.5.8.

3 Résumé

Une vulnérabilité découverte dans le serveur mandataire (proxy) Squid permet à un utilisateur mal intentionné d'effectuer un déni de service sur le serveur vulnérable.

4 Description

Squid est un serveur mandataire (proxy) pour plusieurs protocoles dont HTTP, HTTPS et FTP.

Une vulnérabilité présente dans le traitement de certaines réponses DNS (Domain Name System) permet à un utilisateur mal intentionné d'effectuer un déni de service au moyen de réponses DNS malicieusement constituées.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentaion).

6 Documentation

• Site Internet de Squid :

  http://www.squid-cache.org
  

• Bulletin de sécurité Gentoo GLSA-200502-25 du 18 février 2005 :

  http://www.gentoo.org/security/en/glsa/glsa-200502-25.xml
  

• Bulletin de sécurité SUSE SUSE-SA:2005:008 du 22 février 2005 :

  http://www.novell.com/linux/security/advisories/2005_08_squid.html
  

• Bulletin de sécurité Debian DSA-688 du 23 février 2005 :

  http://www.debian.org/security/2005/dsa-688
  

• Bulletin de sécurité Mandrake MDKSA-2005:047 du 24 février 2005 :

  http://www.mandrakesoft.com/security/advisories?name=MDKSA-2005:047
  

• Mise à jour de sécurité Fedora Core 2 pour Squid :

  http://download.fedora.redhat.com/pun/fedora/linux/core/updates/2/
  

• Mise à jour de sécurité Fedora Core 3 pour Squid :

  http://download.fedora.redhat.com/pun/fedora/linux/core/updates/3/
  

• Mise à jour de sécurité du paquetage NetBSD squid :

  ftp://ftp.netbsd.org/pub/NetBSD/packages/pkgsrc/www/squid/README.html
  

• Bulletin de sécurité RedHat RHSA-2005:173 du 03 mars 2005 :

  http://rhn.redhat.com/errata/RHSA-2005-173.html
  

• Bulletin de sécurité FreeBSD pour squid du 03 juin 2005 :

  http://www.vuxml.org/freebsd/pkg-squid.html
  

• Référence CVE CAN-2005-0446 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0446
  

Gestion détaillée du document

21 février 2005

version initiale.

24 février 2005

ajout du site Internet Squid, des références aux bulletins de sécurité Debian et SUSE ainsi que de la référence CVE.

25 février 2005

ajout de la référence au bulletin de sécurité Mandrake.

28 février 2005

ajout des références aux mises à jour de sécurité Fedora.

01 mars 2005

ajout de la référence au bulletin de sécurité NetBSD.

04 mars 2005

ajout de la référence au bulletin de sécurité RedHat.

10 juin 2005

ajout de la référence au bulletin de sécurité FreeBSD.