Stabsstelle DV-Sicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-426

[Generic/Squid] Im Beschleuniger-Modus kann die Proxy-Funktionalität genutzt werden
(2001-07-20 14:24:33+00)

Quelle: http://cert.uni-stuttgart.de/archive/bugtraq/2001/07/msg00347.html

Im Beschleuniger-Modus des Squid Web Proxy Cache wird bei einer bestimmte Konfiguration die Proxy-Funktionalität durch einen Programmierfehler nicht - wie vorgesehen - abgeschaltet, sondern voll aktiviert. Ein solchermaßen konfigurierter Squid kann von Angreifern dazu mißbraucht werden, Firewalls zu umgehen oder Angriffe mit der IP-Adresse des Proxyservers zu maskieren.

Betroffene Systeme

Einfallstor
HTTP-Requests über Netzwerkverbindungen.

Auswirkung
Es lassen sich beliebige TCP-Verbindungen über den Web-Beschleuniger tunneln.

Typ der Verwundbarkeit
design flaw

Gefahrenpotential
hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Neben dem gängigen Proxy-Modus kann Squid auch als Web-Beschleuniger (reversed proxy) agieren. In einem solchen Fall kann man die reguläre Proxy-Funktionalität abschalten. Falls dies mit den Direktiven

httpd_accel_host host.example.net
httpd_accel_with_proxy off
versucht wird, unterbleibt diese Abschaltung jedoch, es wird im Gegenteil sogar die gesamte Proxy-Funktionalität freigeschaltet. Das bedeutet, daß ein Angreifer z.B. den Befehl CONNECT dazu verwenden kann, TCP-Verbindungen zu beliebigen Zielhosts über den Web-Beschleuniger zu tunneln. Damit kann dieser für Angriffe auf andere Systeme verwendet werden, oder die örtliche Firewall kann bei ungünstiger Auslegung getunnelt werden.

Gegenmaßnahmen

Weitere Information zu diesem Thema

(fw)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=426