CVE-2025-54574

Heap buffer overflow w Squid podczas przetwarzania URN – możliwy RCE

CVSS 9.3v3.1pub. 2025-08-01upd. 2025-11-05

Squid w wersjach 6.3 i niższych zawiera podatność typu heap buffer overflow podczas przetwarzania żądań URN, wynikającą z nieprawidłowego zarządzania buforami. Błąd pozwala nieuwierzytelnionemu atakującemu zdalnie doprowadzić do awarii usługi lub potencjalnie wykonać dowolny kod na serwerze.

▸ Pokaż oryginał (EN)

Squid is a caching proxy for the Web. In versions 6.3 and below, Squid is vulnerable to a heap buffer overflow and possible remote code execution attack when processing URN due to incorrect buffer management. This has been fixed in version 6.4. To work around this issue, disable URN access permissions.

🤖 Analiza AI

Jak działa

Podatność wynika z niepoprawnego zarządzania pamięcią przy obsłudze żądań opartych na protokole URN (Uniform Resource Name). Atakujący wysyła specjalnie spreparowane żądanie URN do podatnej instancji Squid, co powoduje przepełnienie bufora na stercie (heap buffer overflow). Skutkuje to uszkodzeniem pamięci procesu, co może prowadzić do jego awarii lub – w sprzyjających okolicznościach – do wykonania dowolnego kodu (RCE).

Skutki

Atakujący może spowodować niedostępność usługi proxy (DoS) lub potencjalnie przejąć kontrolę nad systemem poprzez zdalne wykonanie kodu (RCE) bez konieczności posiadania jakichkolwiek uprawnień.

Mitygacja

Należy zaktualizować Squid do wersji 6.4, w której problem został naprawiony. Jeśli aktualizacja nie jest natychmiast możliwa, jako obejście należy wyłączyć uprawnienia dostępu URN w konfiguracji Squid.

Kogo dotyczy

Squid w wersjach 6.3 i niższych (Squid-Cache/Squid).

Uwagi

Poprawka dostępna w commicie a27bf4b84da23594150c7a86a23435df0b35b988 w repozytorium GitHub projektu Squid-Cache. Podatność ujęta również w ogłoszeniu Debian LTS (wrzesień 2025).