【缝隙公告】Squid Proxy FTP 解析堆溢出信息泄露缝隙(CVE-2026-47729)

颁布功夫 2026-06-25

一、、、缝隙概述


OG东方厅·(中国大陆)


SquidProxy是一款开源Web代理缓存服务器，，支持HTTP、、、HTTPSCONNECT以及FTP和谈转发与缓存职能，，宽泛部署于企业、、、教育及运营商网络环境中，，用于实现接见加快、、、内容过滤、、、接见节制与流量审计等能力，，是典型的多用户共享代理基础设施组件 。。


2026年6月25日，，OG东方厅安全应急响应中心（VSRC）监测到Squid Proxy FTP 解析堆溢出信息泄露缝隙 。。由于FTP LIST目录解析逻辑在处置字符串实现符时对NULL终止与strchr天堑前提判断不当，，在NetWare兼容体式解析及whitespace跳过过程中谬误推动指针，，导致在特定无文件名场景下产生越界读取，，从MEM_4K_BUF复用内存区域中新淠史HTTP要求内容与Authorization等敏感信息 。。攻击者可通过节制恶意FTP服务器诱导代理提议衔接，，在默认Safe_ports配置下触发数据回显，，从而获取其他用户会话数据与隐衷信息，，最终造成敏感信息泄露 。。



二、、、影响领域



Squid Proxy < 7.6



三、、、安全措施



3.1 升级版本


官方已颁布修复补丁，，以修复该缝隙

Squid Proxy >= 7.6

下载链接：：：

https://github.com/squid-cache/squid/releases


3.2 一时措施


暂无 。。


3.3 通用建议


定期更新系统补丁，，削减系统缝隙，，提升服务器的安全性 。。

加强系统和网络的接见节制，，批改防火墙战术，，关闭非必要的利用端口或服务，，削减将危险服务（如SSH、、、RDP等）露出到公网，，削减攻击面 。。

使用企业级安全产品，，提升企业的网络安全机能 。。

加强系统用户和权限治理，，启用多成分认证机制和最小权限准则，，用户和软件权限应维持在最低限度 。。

启用强密码战术并设置为定期批改 。。


3.4 参考链接


https://www.openwall.com/lists/oss-security/2026/06/12/1/

https://blog.calif.io/p/squidbleed-cve-2026-47729