FICHE CVE

CVE-2020-15049

Publiée le 2020-06-30 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les serveurs proxy Squid antérieurs aux versions 4.12 et 5.0.3 sont vulnérables au détournement de requêtes HTTP (HTTP request smuggling) et à l'empoisonnement du cache. Un attaquant authentifié disposant d'un accès réseau peut envoyer des requêtes spécialement conçues pour induire le proxy en erreur sur les limites des requêtes, ce qui pourrait lui permettre de détourner les sessions d'autres utilisateurs ou de diffuser du contenu malveillant via le cache. Cette attaque est relativement facile à exécuter car elle ne nécessite aucune interaction de la part de l'utilisateur.

CVSS 3.19.9 CRITIQUE

Type de faiblesse

CWE-444

Publiée2020-06-30

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

An issue was discovered in http/ContentLengthInterpreter.cc in Squid before 4.12 and 5.x before 5.0.3. A Request Smuggling and Poisoning attack can succeed against the HTTP cache. The client sends an HTTP request with a Content-Length header containing "+\ "-" or an uncommon shell whitespace character prefix to the length field-value.