FICHE CVE

CVE-2026-32748

Publiée le 2026-03-26 · Dernière modification le 2026-07-15

🇫🇷 EN BREF

Les serveurs proxy de cache Squid avec le support ICP activé (une configuration `icp_port` non nulle) sont susceptibles de subir un plantage rendant le service indisponible. Un attaquant distant peut déclencher cette attaque par déni de service de manière fiable, sans nécessiter d'authentification ni d'interaction de l'utilisateur. Comme elle ne requiert qu'un accès réseau au port ICP, l'attaque est facile à exécuter si ce port est exposé.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

Publiée2026-03-26

Dernière modification2026-07-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Faible

RÉFÉRENCES

Description officielle du NVD (en anglais)

Squid is a caching proxy for the Web. Prior to version 7.5, due to premature release of resource during expected lifetime and heap Use-After-Free bugs, Squid is vulnerable to Denial of Service when handling ICP traffic. This problem allows a remote attacker to perform a reliable and repeatable Denial of Service attack against the Squid service using ICP protocol. This attack is limited to Squid deployments that explicitly enable ICP support (i.e. configure non-zero `icp_port`). This problem _cannot_ be mitigated by denying ICP queries using `icp_access` rules. This bug is fixed in Squid version 7.5.