プロキシサーバ「Squid」に認証情報が漏洩する深刻な脆弱性

プロキシサーバ「Squid」に深刻な脆弱性が明らかとなった。内部で使用される資格情報を窃取されるおそれがある。

エラーハンドリング処理においてHTTP認証情報が適切にマスキング処理されないことに起因し、認証情報が漏洩する脆弱性「CVE-2025-62168」が明らかとなったもの。

信頼されたクライアントが使用している認証情報を、ブラウザを介したスクリプト経由で取得されるおそれがある。

さらに「Squid」がロードバランサとして稼働する環境では、ウェブアプリケーションが内部で使用する認証情報やトークンが特定されるおそれがある。「Squid」においてHTTP認証が利用されていない構成も対象となる。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを、最高値である「10.0」と評価。重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

開発チームでは、現地時間2025年10月11日にパッチを公開し、同月16日にリリースした「同7.2」で同脆弱性を修正した。また設定の変更による回避策についても紹介されている。

（Security NEXT - 2025/10/20 ）ツイート