Vulnerabilidad en DISPUTADA (CVE-2009-2936)

** DISPUTADA** La interfase de línea de comandos (también conocida como Server CLI o interfase de administración) en el proceso maestro en el "reverse proxy server" en Varnish anteriores a v2.1.0 no requiere autenticación para comandos recibidos a través del puerto TCP, lo que permite a atacantes remotos (1) ejecutar código de su elección a través de una directiva vcl.inline que provee un fichero de configuración código C; (2) cambiar el propietario del proceso maestro a través de directivas param.set, stop y start: (3) leer la línea iniciar de un fichero de su elección a través de la directiva vcl.load; o (4) conducir un ataque de falsificación de petición en sitios cruzados que muestren la localización de la víctima en una red segura y una validación de entrada impropia de directivas. NOTA: el desarollador disputa este informe diciendo que es "equivocada y sin sentido".