Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el archivo http/ContentLengthInterpreter.cc en la memoria caché HTTP en Squid (CVE-2020-15049)

Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
30/06/2020
Última modificación:
07/11/2023

Descripción

Se detectó un problema en el archivo http/ContentLengthInterpreter.cc en Squid versiones anteriores a 4.12 y versiones 5.x anteriores a 5.0.3. Un ataque de Trafico No Autorizado de Peticiones y Envenenamiento puede tener éxito contra la memoria caché HTTP. El cliente envía una petición HTTP con un encabezado Content-Length que contiene "+\"-" o un prefijo del carácter espacio en blanco de shell poco común en el valor de campo de longitud

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:squid-cache:squid:*:*:*:*:*:*:*:* 2.0 (incluyendo) 2.6 (incluyendo)
cpe:2.3:a:squid-cache:squid:*:*:*:*:*:*:*:* 3.1 (incluyendo) 3.5.28 (incluyendo)
cpe:2.3:a:squid-cache:squid:*:*:*:*:*:*:*:* 4.0 (incluyendo) 4.12 (excluyendo)
cpe:2.3:a:squid-cache:squid:*:*:*:*:*:*:*:* 5.0 (incluyendo) 5.0.3 (excluyendo)
cpe:2.3:a:squid-cache:squid:2.7:*:*:*:*:*:*:*
cpe:2.3:a:squid-cache:squid:2.7:stable2:*:*:*:*:*:*
cpe:2.3:a:squid-cache:squid:2.7:stable3:*:*:*:*:*:*
cpe:2.3:a:squid-cache:squid:2.7:stable4:*:*:*:*:*:*
cpe:2.3:a:squid-cache:squid:2.7:stable5:*:*:*:*:*:*
cpe:2.3:a:squid-cache:squid:2.7:stable6:*:*:*:*:*:*
cpe:2.3:a:squid-cache:squid:2.7:stable7:*:*:*:*:*:*
cpe:2.3:a:squid-cache:squid:2.7:stable8:*:*:*:*:*:*
cpe:2.3:a:squid-cache:squid:2.7:stable9:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:31:*:*:*:*:*:*:*