Squid の脆弱性 CVE-2025-54574 が FIX：URN に起因するバッファローと RCE の可能性

Critical Squid Vulnerability Let Attackers Execute Remote Code

2025/08/04 CyberSecurityNews — Squid Web Proxy Cache に存在する、深刻なセキュリティ脆弱性が明らかになった。この脆弱性は、URN (Uniform Resource Name) の処理に関連するヒープバッファ・オーバーフローに起因し、攻撃者に対してリモート・コード実行を許すものとされる。この脆弱性 CVE-2025-54574 (CVSS：9.3) は、Squid のバージョン 6.4 未満に影響を与えるものだ。深刻なシステム侵害につながる可能性があるため、Critical なセキュリティ問題として分類されている。

主なポイント
  • CVE-2025-54574：Squid におけるヒープバッファ・オーバーフロー
  • 影響範囲：Squid のバージョン 6.4 未満
  • 影響内容：リモートコード実行／メモリ漏洩
  • 緩和策：http_access deny URN コンフィグの追加により、URN アクセスの無効化が可能
脆弱性の技術的分析

この脆弱性 CVE-2025-54574 は、Squid の URN 処理における不適切なバッファ管理に起因し、ヒープバッファ・オーバーフロー状態を引き起こすものである。悪意のリモート・サーバから URN Trivial-HTTP レスポンスを用いて、この脆弱性を悪用する攻撃者は、最大で 4KB に及ぶヒープ・メモリを、Squid プロセスから窃取できる。

このように漏洩するメモリには、認証情報やトークンなどの、機密性の高いデータが含まれる可能性があるため、深刻なセキュリティ・リスクが生じる。

さらに、ヒープバッファ・オーバーフローに起因するメモリ破壊を通じて、リモート・コード実行が可能となるため、対象となる Squid サーバの完全な制御を、攻撃者に許す状況が生じ得る。

Risk FactorsDetails
Affected Products– Squid Web Proxy Cache versions < 6.4- All Squid 4.x (up to 4.17)- All Squid 5.x (up to 5.9)- All Squid 6.x (up to 6.3)- Legacy versions < 4.14 (presumed vulnerable)
ImpactRemote code execution
Exploit Prerequisites– Network access to Squid proxy- Ability to send URN requests- No authentication required- No user interaction needed
CVSS 3.1 Score9.3 (Critical)
緩和策

ユーザー組織は、システム・アップデートの計画と並行して、即時性の高い保護対策を実施できる。主な回避策は、Access Control Lists (ACL) を用いた構コンフィグ変更により、URN アクセス権限を無効化することだ。 “acl URN proto URN” に続けて “http_access deny URN” と記述する。

このコンフィグにより、URN プロトコルに基づくリクエストが遮断され、脆弱なコード・パスへのアクセスが防止される。

パッチとアップデート情報

すでに Squid は、バージョン 6.4 をリリースし、この脆弱性に対処している。その修正内容は、 Git リポジトリ内の以下のコミットで確認できる：

“a27bf4b84da23594150c7a86a23435df0b35b988”

この脆弱性は、セキュリティ研究者 StarryNight により発見され、The Measurement Factory により、修正プログラムが開発／実装されている。

すべてのシステム／ネットワーク管理者に対して強く推奨されるのは、Squid 6.4 以降への速やかなアップグレードにより、この脆弱性によるリスクを回避することだ。また、ディストリビューター固有のパッチが提供されている場合には、それを適用することが適切な対応策となる。

この Squid の脆弱性 CVE-2025-54574 は、URN の処理に起因するヒープバッファ・オーバーフローが原因とのことです。このようなバッファ管理の不備により、攻撃者はリモートからのコード実行を達成し、メモリ上の情報が漏洩する可能性もあると、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、Squid で検索も、ご参照ください。