CVE-2020-14058
Publiée le 2020-06-30 · Dernière modification le 2026-06-17
Les serveurs proxy Squid (versions antérieures à 4.12 et 5.0.3) sont susceptibles de subir un plantage entraînant un déni de service complet. Un attaquant distant non authentifié peut déclencher cet incident en forçant le proxy à se connecter à un serveur malveillant via HTTPS. Aucune interaction de l'utilisateur n'est requise, ce qui rend l'attaque relativement simple à exécuter via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered in Squid before 4.12 and 5.x before 5.0.3. Due to use of a potentially dangerous function, Squid and the default certificate validation helper are vulnerable to a Denial of Service when opening a TLS connection to an attacker-controlled server for HTTPS. This occurs because unrecognized error values are mapped to NULL, but later code expects that each error value is mapped to a valid error string.