ГлавнаяБаза уязвимостей БДУ → BDU:2022-04051
7.8высокая

BDU:2022-04051 (CVE-2021-46784)

Уязвимость реализации сетевого протокола Gopher прокси-сервера Squid, позволяющая нарушителю вызвать отказ в обслуживании
Опубликовано: 2022-07-04
Описание

Уязвимость реализации сетевого протокола Gopher прокси-сервера Squid связана с использованием функции assert() или похожего оператора. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально созданного ответа прокси-серверу

Затрагиваемое ПО и версии
Debian GNU/Linux (10)Debian GNU/Linux (11)РЕД ОС (7.3)Astra Linux Special Edition (1.7)Альт 8 СПSquid (от 2.0 до 4.17 включительно)Squid (от 5.0.1 до 5.5 включительно)Astra Linux Special Edition (4.7)ОСОН ОСнова Оnyx (до 2.5.1)Astra Linux Common Edition (1.6 «Смоленск»)РОСА ХРОМ (12.4)
Способ устранения

Использование рекомендаций:
Для Squid:
https://github.com/squid-cache/squid/security/advisories/GHSA-f5cp-6rh3-284w
https://github.com/squid-cache/squid/commit/780c4ea1b4c9d2fb41f6962aa6ed73ae57f74b2b
http://www.squid-cache.org/Versions/v5/changesets/SQUID-2021_7.patch

Для Ред ОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian:
https://security-tracker.debian.org/tracker/CVE-2021-46784

Организационные меры:
Рекомендуется запретить доступ к ресурсам gopher://, добавив следующие строки в начало файла squid.conf:

acl gopher proto gopher
http_access deny gopher

Для ОСОН Основа:
Обновление программного обеспечения squid до версии 5.6-1osnova1

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47

Для операционной системы РОСА ХРОМ: https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2274

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОС Astra Linux:
обновить пакет squid3 до 3.5.23-5+deb9u11+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16

Оценка CVSS
Балл7.8 — высокая опасность
Источники и патчи
https://security-tracker.debian.org/tracker/CVE-2021-46784https://github.com/squid-cache/squid/security/advisories/GHSA-f5cp-6rh3-284whttps://github.com/squid-cache/squid/commit/780c4ea1b4c9d2fb41f6962aa6ed73ae57f74b2bhttp://www.squid-cache.org/Versions/v5/changesets/SQUID-2021_7.patchhttps://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-squid-cve-2021-46784/https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.5.1/https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47
Проверьте безопасность своего сайта и почты → Полная проверка домена