一、漏洞详情

SquidProxy是一款开源Web代理缓存服务器，支持HTTP、HTTPSCONNECT以及FTP协议转发与缓存功能，广泛部署于企业、教育及运营商网络环境中。

近日，监测到Squid Proxy FTP解析堆溢出信息泄露漏洞。由于FTP LIST目录解析逻辑在处理字符串结束符时对NULL终止与strchr边界条件判断不当，在NetWare兼容格式解析及whitespace跳过过程中错误推进指针，导致在特定无文件名场景下发生越界读取，从MEM_4K_BUF复用内存区域中泄露历史HTTP请求内容与Authorization等敏感信息。攻击者可通过控制恶意FTP服务器诱导代理发起连接，在默认Safe_ports配置下触发数据回显，从而获取其他用户会话数据与隐私信息，最终造成敏感信息泄露。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

Squid Proxy < 7.6

三、修复建议

官方已发布安全补丁，请及时更新至安全版本。

Squid Proxy >= 7.6