From: Conectiva Updates (secureconectiva.com.br)
Date: Wed Nov 03 2004 - 06:48:37 CST

• Messages sorted by: [ date ] [ thread ] [ subject ] [ author ]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

- -------------------------------------------------------------------------
ANÚNCIO DE SEGURANÇA DO CONECTIVA LINUX
- -------------------------------------------------------------------------

PACOTE : squid
RESUMO : Correções para vulnerabilidades do squid
DATA : 2004-11-03 10:48:00
ANÚNCIO : CLA-2004:882
EDIÇÕES : 9, 10

- -------------------------------------------------------------------------

DESCRIÇÃO DO PROBLEMA
 Squid[1] é um servidor proxy HTTP e FTP com cache de alta
 performance.
 
 Este anúncio corrige uma vulnerabilidade[2] de negação de serviço no
 squid causada por um pacote NTLMSSP mal formado. Esse pacote provoca
 a provoca a passagem de um valor negativo para a função memcpy em
 servidores com a autenticação NTLM habilitada, fazendo com que o
 programa deixe de funcionar e causando uma situação de negação de
 serviço.
 
 Correções para duas falhas de segmentação também foram incluídas:
 quando usando um nome de usuário em branco[3] na autenticação digest
 e após a mensagem "Likely proxy abuse detected" ser impressa em
 cache.log[4].
 
 Também corrige uma situação de negação de serviço[5] causada por
 certas consultas SNMP que, ao serem recebidas pelo squid, poderia
 reiniciá-lo com um erro de falha de segmentação.
 
 Para o Conectiva Linux 9, este anúncio também corrgie uma
 vulnerabilidade[6] de estouro de buffer na função ntlm_check_auth
 (autenticação NTLM) que permitia a execução remota de código
 arbitrário através de uma senha muito longa.

SOLUÇÃO
 A recomendação é que todos os usuários do squid façam a atualização,
 que se encarregará de reiniciar o serviço caso ele esteja em
 execução.
 
 
 REFERÊNCIAS
 1.http://squid.nlanr.net/
 2.http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0832
 3.http://www1.uk.squid-cache.org/squid/Versions/v2/2.5/bugs/#squid-2.5.STABLE5-digest_blank
 4.http://www1.uk.squid-cache.org/squid/Versions/v2/2.5/bugs/#squid-2.5.STABLE5-proxy_abuse
 5.http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0918
 6.http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0541

PACOTES RPM
ftp://atualizacoes.conectiva.com.br/10/SRPMS/squid-2.5.5-63116U10_4cl.src.rpm
ftp://atualizacoes.conectiva.com.br/10/RPMS/squid-2.5.5-63116U10_4cl.i386.rpm
ftp://atualizacoes.conectiva.com.br/10/RPMS/squid-auth-2.5.5-63116U10_4cl.i386.rpm
ftp://atualizacoes.conectiva.com.br/10/RPMS/squid-extra-templates-2.5.5-63116U10_4cl.i386.rpm
ftp://atualizacoes.conectiva.com.br/9/SRPMS/squid-2.5.5-25761U90_7cl.src.rpm
ftp://atualizacoes.conectiva.com.br/9/RPMS/squid-2.5.5-25761U90_7cl.i386.rpm
ftp://atualizacoes.conectiva.com.br/9/RPMS/squid-auth-2.5.5-25761U90_7cl.i386.rpm
ftp://atualizacoes.conectiva.com.br/9/RPMS/squid-extra-templates-2.5.5-25761U90_7cl.i386.rpm

INSTRUÇÕES ADICIONAIS
 A ferramenta apt pode ser utilizada para fazer atualizações de
 pacotes RPM:

 - execute: apt-get update
 - seguido por: apt-get upgrade

 Instruções detalhadas de uso do apt e exemplos práticos encontram-se em
 http://distro.conectiva.com.br/atualizacoes/#apt

- -------------------------------------------------------------------------
Todos os pacotes listados aqui também são assinados com a chave GPG da
Conectiva. A chave, bem como instruções de como importá-la, pode ser
encontrada em http://distro.conectiva.com.br/seguranca/chave/.
Instruções para checar a assinatura dos pacotes podem ser encontradas em
http://distro.conectiva.com.br/seguranca/politica/.

- -------------------------------------------------------------------------
Todos os anúncios de atualizações são armazenados e podem ser consultados
na página http://distro.conectiva.com.br/atualizacoes/.
Instruções genéricas para atualizações são fornecidas na mesma página.

- -------------------------------------------------------------------------
A Conectiva possui uma lista pública para discutir assuntos de segurança
relacionados à distribuição. Acesse http://distro.conectiva.com.br/lista/
para obter mais informações.

- -------------------------------------------------------------------------
Copyright (c) 2004 Conectiva S.A.
http://www.conectiva.com.br

- -------------------------------------------------------------------------
cadastramento: atualizacoes-anuncio-subscribepapaleguas.conectiva.com.br
cancelamento: atualizacoes-anuncio-unsubscribepapaleguas.conectiva.com.br
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: For info see http://www.gnupg.org

iD8DBQFBiNOk42jd0JmAcZARAnmMAJ4xCHxUZcs7jHaYVxd/EPq04hUKTACeP59u
cpAYN16MSOKdUOaki1AGXgg=
=Q9HJ
-----END PGP SIGNATURE-----

--===============1079279480==
Content-Type: text/plain; charset="iso-8859-1"
MIME-Version: 1.0
Content-Transfer-Encoding: quoted-printable
Content-Disposition: inline

__________________________________________________________________________
cadastramento: atualizacoes-anuncio-subscribepapaleguas.conectiva.com.br
cancelamento: atualizacoes-anuncio-unsubscribepapaleguas.conectiva.com.br
--===============1079279480==--

• Messages sorted by: [ date ] [ thread ] [ subject ] [ author ]