CVE-2026-33526
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 95 - wyżej niż 95% wszystkich znanych CVE
Streszczenie
Squid w wersjach przed 7.5 zawiera podatność Use-After-Free na stercie podczas obsługi ruchu ICP, umożliwiającą zdalnemu atakującemu przeprowadzenie powtarzalnego ataku DoS na usługę Squid. Atak wymaga włączenia obsługi ICP (ustawienie niezerowego `icp_port`) i nie może być złagodzony przez reguły `icp_access`.
Ocena ryzyka
Organizacja korzystająca z podatnej wersji Squida z włączonym ICP ryzykuje przerwanie działania usługi proxy przez zdalnego atakującego, co może prowadzić do niedostępności zasobów sieciowych.
Rekomendacja
Zaleca się natychmiastową aktualizację Squida do wersji 7.5 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy wyłączyć obsługę ICP (ustawić `icp_port 0`), jeśli to akceptowalne dla środowiska.
Oryginalny opis (angielski, źródło NVD)
Squid is a caching proxy for the Web. Prior to version 7.5, due to heap Use-After-Free, Squid is vulnerable to Denial of Service when handling ICP traffic. This problem allows a remote attacker to perform a reliable and repeatable Denial of Service attack against the Squid service using ICP protocol. This attack is limited to Squid deployments that explicitly enable ICP support (i.e. configure non-zero `icp_port`). This problem _cannot_ be mitigated by denying ICP queries using `icp_access` rules. Version 7.5 contains a patch.