JVNDB-2026-009488

Squid-cache.orgのSquidにおける複数の脆弱性

SquidはWebのキャッシュプロキシです。バージョン7.5以前では、不適切な入力検証により、ICPトラフィックを処理する際に境界外読み取りの脆弱性が存在していました。この問題により、リモートの攻撃者が無効なICPリクエストに対するエラー応答時に、潜在的に機密情報を含む小量のメモリを取得できる可能性がありました。この攻撃は、明示的にICPサポートを有効にしているSquidの導入環境（すなわち、`icp_port`をゼロ以外に設定している場合）に限定されます。`icp_access`ルールでICPクエリを拒否しても、この問題を緩和することはできません。バージョン7.5ではパッチが適用されています。

Squid-cache.org

• Squid 7.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SQUID-2026:3 Out of Bounds Read in ICP message handling  Advisory  squid-cache/squid  GitHub

Openwall

• Openwall mailing list archives : oss-security - [ADVISORY] SQUID-2026:3 Out of Bounds Read in ICP message handling (CVE-2026-33515)

1. 境界外読み取り(CWE-125) [その他]
2. 安全でない等式による入力の不適切な検証(CWE-1289) [その他]

1. CVE-2026-33515

1. National Vulnerability Database (NVD) : CVE-2026-33515
2. 関連文書 : ICP: Fix validation of packet sizes and URLs by MegaManSec  Pull Request #2220  squid-cache/squid  GitHub (https://github.com/squid-cache/squid/pull/2220)
3. 関連文書 : ICP: Fix validation of packet sizes and URLs by MegaManSec  Pull Request #2220  squid-cache/squid  GitHub (https://github.com/squid-cache/squid/pull/2220#discussion_r2727683637)
4. 関連文書 : ICP: Fix validation of packet sizes and URLs (#2220)  squid-cache/squid@8138e90  GitHub

• [2026年04月01日]
    掲載