Privoxy 输入验证错误漏洞

admin

0
文章

0
评论

2023-11-30 13:53:54 Ali_nvd 来源：ZONE.CI 全球网 0 阅读模式

中危 Privoxy 输入验证错误漏洞

CVE编号

CVE-2021-44541

利用情况

暂无

补丁情况

官方补丁

披露时间

2021-12-24

漏洞描述

Privoxy是美国Privoxy团队的一款不进行网页缓存且自带过滤功能的代理服务器。它具有高级过滤功能，可增强隐私，修改网页数据和HTTP标头，控制访问以及删除广告和其他令人讨厌的Internet垃圾。Privoxy具有灵活的配置，可以根据个人需要进行定制。它适用于独立系统和多用户网络。 Privoxy存在输入验证错误漏洞，该漏洞源于在process_encrypted_request_headers函数中对用户提供的输入验证不足。攻击者可利用该漏洞将精心编制的输入传递给应用程序并执行拒绝服务（DoS）攻击。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：http://seclists.org/oss-sec/2021/q4/148

参考链接
https://www.privoxy.org/3.0.33/user-manual/whatsnew.html%2C
https://www.privoxy.org/gitweb/?p=privoxy.git%3Ba=commit%3Bh=652b4b7cb0

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	privoxy	privoxy	*		Up to (excluding) 3.0.33
	运行在以下环境
	系统	alpine_3.12	privoxy	*		Up to (excluding) 3.0.33-r0
	运行在以下环境
	系统	alpine_3.13	privoxy	*		Up to (excluding) 3.0.33-r0
	运行在以下环境
	系统	alpine_3.14	privoxy	*		Up to (excluding) 3.0.33-r0
	运行在以下环境
	系统	alpine_3.15	privoxy	*		Up to (excluding) 3.0.33-r0
	运行在以下环境
	系统	alpine_3.16	privoxy	*		Up to (excluding) 3.0.33-r0
	运行在以下环境
	系统	alpine_3.17	privoxy	*		Up to (excluding) 3.0.33-r0
	运行在以下环境
	系统	alpine_3.18	privoxy	*		Up to (excluding) 3.0.33-r0
	运行在以下环境
	系统	alpine_edge	privoxy	*		Up to (excluding) 3.0.33-r0
	运行在以下环境
	系统	debian_10	privoxy	*		Up to (excluding) 3.0.28-2+deb10u2
	运行在以下环境
	系统	debian_11	privoxy	*		Up to (excluding) 3.0.32-2+deb11u1
	运行在以下环境
	系统	debian_12	privoxy	*		Up to (excluding) 3.0.33-1
	运行在以下环境
	系统	debian_9	privoxy	*		Up to (including) 3.0.26-3
	运行在以下环境
	系统	debian_sid	privoxy	*		Up to (excluding) 3.0.33-1
	运行在以下环境
	系统	opensuse_Leap_15.2	privoxy	*		Up to (excluding) 3.0.33-bp153.2.3.1
	运行在以下环境
	系统	opensuse_Leap_15.3	privoxy	*		Up to (excluding) 3.0.33-bp153.2.3.1
	运行在以下环境
	系统	opensuse_Leap_15.4	privoxy	*		Up to (excluding) 3.0.33-bp154.3.3.1