CVE-2026-33526

Squid: Use-After-Free w obsłudze ruchu ICP umożliwia atak DoS

CVSS 9.2v4.0pub. 2026-03-26upd. 2026-06-30

W serwerze proxy Squid w wersjach przed 7.5 występuje podatność typu heap Use-After-Free podczas przetwarzania ruchu ICP (Internet Cache Protocol), umożliwiająca zdalny atak Denial of Service. Atakujący może w sposób niezawodny i powtarzalny doprowadzić do niedostępności usługi Squid bez konieczności uwierzytelniania.

▸ Pokaż oryginał (EN)

Squid is a caching proxy for the Web. Prior to version 7.5, due to heap Use-After-Free, Squid is vulnerable to Denial of Service when handling ICP traffic. This problem allows a remote attacker to perform a reliable and repeatable Denial of Service attack against the Squid service using ICP protocol. This attack is limited to Squid deployments that explicitly enable ICP support (i.e. configure non-zero `icp_port`). This problem _cannot_ be mitigated by denying ICP queries using `icp_access` rules. Version 7.5 contains a patch.

🤖 Analiza AI

Jak działa

Podatność wynika z błędu zarządzania pamięcią (CWE-416: Use-After-Free, CWE-826) w module obsługującym protokół ICP. Podczas przetwarzania pakietów ICP Squid odwołuje się do obszaru pamięci sterty, który został już wcześniej zwolniony, co prowadzi do niestabilności procesu i jego awarii. Atakujący może wielokrotnie wysyłać odpowiednio spreparowane żądania ICP, za każdym razem wywołując ten sam efekt. Istotne jest, że zastosowanie reguł kontroli dostępu `icp_access` nie chroni przed exploitacją tej podatności — błąd występuje na wcześniejszym etapie przetwarzania.

Skutki

Zdalny, nieuwierzytelniony atakujący może doprowadzić do trwałej i powtarzalnej niedostępności usługi Squid (Denial of Service), co skutkuje brakiem możliwości korzystania z serwera proxy przez użytkowników i systemy od niego zależne.

Mitygacja

Należy zaktualizować Squid do wersji 7.5, która zawiera stosowny patch. Jeśli aktualizacja nie jest natychmiast możliwa, można ograniczyć ryzyko poprzez wyłączenie obsługi ICP (ustawienie `icp_port 0` w konfiguracji) — należy jednak pamiętać, że reguły `icp_access` same w sobie nie stanowią skutecznego zabezpieczenia.

Kogo dotyczy

Squid w wersjach przed 7.5, przy czym podatność dotyczy wyłącznie wdrożeń, w których jawnie włączono obsługę protokołu ICP poprzez ustawienie niezerowej wartości parametru `icp_port`.

Uwagi

Podatność dotyczy wyłącznie instancji Squid z aktywnym wsparciem dla protokołu ICP (parametr `icp_port` ustawiony na wartość różną od zera). Informacja o podatności została opublikowana na liście oss-security w dniu 2026-03-25.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X