Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant peut employer un entête Accept-Language malformé,
afin de provoquer une boucle infinie dans Squid, ce qui provoque
un déni de service.

– Produits concernés : Squid
– Gravité : 2/4
– Date création : 11/03/2013

DESCRIPTION DE LA VULNÉRABILITÉ

L’entête HTTP Accept-Language indique la liste des langues
souhaitées par le client. Par exemple :
Accept-Language : fr, en

Lorsqu’une erreur survient, la fonction strHdrAcptLangGetItem() du
fichier src/errorpage.cc génère une page d’erreur. Pour cela,
cette fonction analyse l’entête Accept-Language pour générer un
message dans la langue du client. Cependant, si la liste de
langues est composée d’une virgule seule, cette fonction boucle à
la recherche de la langue.

Un attaquant peut donc employer un entête Accept-Language
malformé, afin de provoquer une boucle infinie dans Squid, ce qui
provoque un déni de service.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/Squid-boucle-infinie-via-strHdrAcptLangGetItem-12497