For the English version of this alert, click here.
Allele Security Alert
ASA-2018-00011
Identificador(es)
ASA-2018-00011, SQUID-2018:4, CVE-2018-19131
Título
Cross-Site Scripting no processamento de erro TLS
Fabricante(s)
The Squid project
Produto(s)
Squid
Versão(ões) afetada(s)
Squid 3.1.12.1 -> 3.1.23
Squid 3.2.0.4 -> 3.5.28
Squid 4.0 -> 4.3
Versão(ões) corrigida(s)
Squid 4.4
Prova de conceito
Desconhecido
Descrição
Devido a gerenciamento incorreto de entrada de dados, Squid é vulnerável a ataques de Cross-Site Scripting ao gerar mensagens de resposta HTTPS sobre erros de TLS.
Vários campos de certificados X.509 pode contar tags HTML e não estavam sendo corretamente codificados antes de inserir em páginas de erro HTML gerada pelo proxy. Este problema permite um atacante criar certificados X.509 que emita erros e altere como a página de erro é exibida para clientes como navegadores.
Detalhes técnicos
Desconhecido
Créditos
Nikolas Lohmann (eBlocker GmbH) e Christos Tsantilas (Measurement Factory)
Referência(s)
Squid Proxy Cache Security Update Advisory SQUID-2018:4
http://www.squid-cache.org/Advisories/SQUID-2018_4.txt
Squid Proxy multiple vulnerabilities
https://seclists.org/oss-sec/2018/q4/101
CVE-2018-19131
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-19131
CVE-2018-19131
https://nvd.nist.gov/vuln/detail/CVE-2018-19131
Se encontrou algum erro neste alerta ou deseja uma análise compreensiva, entre em contato.
Última modificação: 1 fevereiro 2019