CentOS 6 ELS : déploiement progressif du paquet squid34 avec le correctif pour plusieurs CVEs

Une nouvelle mise à jour squid34 avec la correction de plusieurs CVEs dans CentOS 6 ELS a été programmé pour un déploiement progressif depuis notre dépôt de production.

Emplacement de déploiement : 1
Déployé jusqu'à : 0.1%
Date limite pour le déploiement à 100% : 10 septembre

CHANGELOG

squid34-3.4.14-16.el6.cloudlinux.els.x86_64

• Correction d'une validation incorrecte du champ Content-Length conduisant à une attaque de type Http smuggling et Poisoning (CVE-2020-15049)
• Correction du traitement des erreurs SSL inconnues qui entraînaient un déni de service (CVE-2020-14058)
• Correction d'une validation d'entrée incorrecte permettant la contrebande HTTP depuis un client de confiance (CVE-2020-25097)
• Correction d'un dépassement du compteur de référence de nonce permettant une attaque par rejeu (CVE-2020-11945)
• Correction du traitement de EOF dans peerDigestHandleReply() conduisant à un déni de service (CVE-2020-24606)
• Correction d'une validation incorrecte des entrées permettant d'écrire en dehors du tampon et conduisant à un déni de service (CVE-2020-8517)
• Correction d'une validation incorrecte des requêtes HTTP permettant l'accès à des ressources interdites par les filtres de sécurité (CVE-2020-8449)
• Correction d'une gestion incorrecte du tampon conduisant à un dépassement de tampon (CVE-2020-8450)
• Correction d'une fuite de mémoire menant à un déni de service (CVE-2021-28651)

COMMANDE DE MISE À JOUR

yum update squid34*

MISE À JOUR IMMÉDIATE (VIA BYPASS)

yum update squid34* --enablerepo=ELS6-rollout-1-contournement