FICHE CVE

CVE-2026-33526

Publiée le 2026-03-26 · Dernière modification le 2026-07-15

🇫🇷 EN BREF

Les proxys de mise en cache Squid configurés avec un port ICP actif sont vulnérables à un plantage complet du service. Un attaquant distant non authentifié peut déclencher cette attaque par déni de service via le réseau, sans aucune interaction de l'utilisateur. L'exploit étant fiable et contournant les règles d'accès standard, vous devez mettre à jour vers la version 7.5 ou désactiver le paramètre `icp_port`.

CVSS 4.09.2 CRITIQUE

Type de faiblesse

Publiée2026-03-26

Dernière modification2026-07-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Élevée

RÉFÉRENCES

Description officielle du NVD (en anglais)

Squid is a caching proxy for the Web. Prior to version 7.5, due to heap Use-After-Free, Squid is vulnerable to Denial of Service when handling ICP traffic. This problem allows a remote attacker to perform a reliable and repeatable Denial of Service attack against the Squid service using ICP protocol. This attack is limited to Squid deployments that explicitly enable ICP support (i.e. configure non-zero `icp_port`). This problem _cannot_ be mitigated by denying ICP queries using `icp_access` rules. Version 7.5 contains a patch.