中危 Squid 资源管理错误漏洞(CVE-2021-46784)

CVE编号

CVE-2021-46784

利用情况

暂无

补丁情况

官方补丁

披露时间

2022-07-18
漏洞描述
Squid是一套代理服务器和Web缓存服务器软件。该软件提供缓存万维网、过滤流量、代理上网等功能。

Squid 多个版本存在安全漏洞,该漏洞源于应用存在处理 Gopher 服务器响应时的可访问断言。
解决建议
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

http://github.com/squid-cache/squid/security/advisories/GHSA-f5cp-6rh3-284w/
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 squid-cache squid * From
(including)
3.0
Up to
(including)
3.5.28
运行在以下环境
应用 squid-cache squid * From
(including)
4.0
Up to
(including)
4.17
运行在以下环境
应用 squid-cache squid * From
(including)
5.0
Up to
(excluding)
5.6
运行在以下环境
系统 alibaba_cloud_linux_2.1903 squid * Up to
(excluding)
3.5.20-17.1.al7.7
运行在以下环境
系统 alibaba_cloud_linux_3 squid * Up to
(excluding)
4.15-3.al8.1
运行在以下环境
系统 alma_linux_9 squid * Up to
(excluding)
5.2-1.el9_0.1
运行在以下环境
系统 amazon_2 squid * Up to
(excluding)
4.15-1.amzn2.0.2
运行在以下环境
系统 amazon_AMI squid * Up to
(excluding)
3.5.20-17.43.amzn1
运行在以下环境
系统 anolis_os_7 squid * Up to
(excluding)
3.5.20-17
运行在以下环境
系统 centos_7 squid * Up to
(excluding)
3.5.20-17.el7_9.7
运行在以下环境
系统 debian_10 squid * Up to
(excluding)
4.6-1+deb10u7
运行在以下环境
系统 debian_11 squid * Up to
(excluding)
4.13-10+deb11u1
运行在以下环境
系统 debian_12 squid * Up to
(excluding)
5.6-1
运行在以下环境
系统 fedora_35 squid * Up to
(excluding)
5.6-1.fc35
运行在以下环境
系统 fedora_36 squid * Up to
(excluding)
5.6-1.fc36
运行在以下环境
系统 kylinos_aarch64_V10 squid * Up to
(excluding)
3.5.20-17.el7_9.7
运行在以下环境
系统 kylinos_aarch64_V10SP1 squid * Up to
(excluding)
4.9-13.ky10
运行在以下环境
系统 kylinos_aarch64_V10SP2 squid * Up to
(excluding)
4.9-11.ky10
运行在以下环境
系统 kylinos_loongarch64_V10SP1 squid * Up to
(excluding)
4.9-11.a.ky10
运行在以下环境
系统 kylinos_x86_64_V10 squid * Up to
(excluding)
3.5.20-17.el7_9.7
运行在以下环境
系统 kylinos_x86_64_V10SP1 squid * Up to
(excluding)
4.9-11.ky10
运行在以下环境
系统 kylinos_x86_64_V10SP2 squid * Up to
(excluding)
4.9-11.ky10
运行在以下环境
系统 opensuse_Leap_15.3 squid * Up to
(excluding)
4.17-150000.5.32.1
运行在以下环境
系统 opensuse_Leap_15.4 squid * Up to
(excluding)
5.6-150400.3.3.1
运行在以下环境
系统 oracle_7 squid * Up to
(excluding)
4.15-3.0.1.el7.1
运行在以下环境
系统 oracle_9 squid * Up to
(excluding)
5.2-1.el9_0.1
运行在以下环境
系统 redhat_7 squid * Up to
(excluding)
3.5.20-17.el7_9.7
运行在以下环境
系统 redhat_9 squid * Up to
(excluding)
5.2-1.el9_0.1
运行在以下环境
系统 suse_12_SP5 squid * Up to
(excluding)
4.17-4.24.1
运行在以下环境
系统 ubuntu_18.04 squid3 * Up to
(excluding)
3.5.27-1ubuntu1.13
运行在以下环境
系统 ubuntu_20.04 squid * Up to
(excluding)
4.10-1ubuntu1.6
运行在以下环境
系统 ubuntu_21.10 squid * Up to
(excluding)
4.13-10ubuntu5.1
运行在以下环境
系统 ubuntu_22.04 squid * Up to
(excluding)
5.2-1ubuntu4.1
运行在以下环境
系统 ubuntu_22.10 squid * Up to
(excluding)
5.2-1ubuntu5
阿里云评分
5.5
  • 攻击路径
    远程
  • 攻击复杂度
    复杂
  • 权限要求
    无需权限
  • 影响范围
    有限影响
  • EXP成熟度
    未验证
  • 补丁情况
    官方补丁
  • 数据保密性
    无影响
  • 数据完整性
    无影响
  • 服务器危害
    无影响
  • 全网数量
    N/A
CWE-ID 漏洞类型
CWE-400 未加控制的资源消耗(资源穷尽)
CWE-617 可达断言
阿里云安全产品覆盖情况