S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 11 juillet 2005 No CERTA-2005-AVI-165-004

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Squid

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

2 Systèmes affectés

3 Description

Une vulnérabilité dans le traitement des réponses DNS (Domain Name System) permet à un utilisateur distant mal intentionné d'associer une adresse réticulaire (URL) avec une adresse IP arbitraire.

4 Solution

5 Documentation

• Site Internet de l'éditeur :

  http://www.squid-cache.org/
  

• Annonce de sécurité de l'éditeur du 11 mai 2005 :

  http://www.squid-cache.org/Versions/v2/2.5/bugs/#squid-2.5.STABLE9-dns_query
  

• Mise à jour de sécurité Squid 2.5.Stable9 ;

  http://www.squid-cache.org/Versions/v2/2.5/bugs/#squid-2.5.STABLE9-dns_query.patch
  

• Bulletin de sécurité Mandriva MDKSA-2005-104 du 24 juin 2005 :

  http://www.mandriva.com/security/advisories?name=MDKSA-2005:104
  

• Bulletin de sécurité FreeBSD pour Squid du 19 mai 2005 :

  http://www.vuxml.org/freebsd/
  

• Bulletin de sécurité OpenBSD pour Squid du 25 mai 2005 :

  http://www.vuxml.org/openbsd/
  

• Bulletin de sécurité RedHat RHSA-2005:415 du 14 juin 2005 :

  http://rhn.redhat.com/errata/RHSA-2005-415.html
  

• Bulletin de sécurité Debian DSA-751 du 11 juillet 2005 :

  http://www.debian.org/security/2005/dsa-751
  

• Référence CVE CAN-2005-1519 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-1519
  

Gestion détaillée du document

17 mai 2005

version initiale.

03 juin 2005

ajout des références aux bulletins de sécurité FreeBSD et OpenBSD.

15 juin 2005

ajout de la référence au bulletin de sécurité RedHat RHSA-2005:415.

27 juin 2005

ajout de la référence au bulletin de sécurité Mandriva MDKSA-2005-104.

11 juillet 2005

ajout de la référence au bulletin de sécurité Debian DSA-751.