-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

 --------------------------------------------------------------------------
   Turbolinux Security Advisory TLSA-2005-24
   http://www.turbolinux.co.jp/security/
                                             security-team@turbolinux.co.jp
 --------------------------------------------------------------------------

 Original released date: 17 Feb 2005
 Last revised: 17 Feb 2005

 Package: squid

 Summary: Multiple vulnerabilities exist in Squid

 More information:
    Squid is a high-performance proxy caching server for web clients,
    supporting FTP, gopher and HTTP data objects.  Unlike traditional
    caching software, Squid handles all requests in a single, non-blocking,
    I/O-driven process.

   Multiple vulnerabilities have been discovered in Squid:
   - A buffer overflow vulnerability exists in the gopherToHTML function in
     the Gopher reply parser.
   - A integer overflow vulnerability exists in the WCCP message parsing code.
   - Squid's squid_ldap_auth function allows remotely authenticated users
     to bypass username-based Access Control Lists (ACLs) via a username
     with a space at the beginning or end, which is ignored by the LDAP server.
   - Squid may be susceptible to cache pollution via a HTTP reponse splitting
     attack.
   - The meaning of the access controls becomes somewhat confusing if any
     of the referenced ACLs is declared empty, without any members.
   - The length argument of the WCCP recvfrom() call is larger than it
     should be.  An attacker could send a larger-than-normal WCCP packet
     and overflow the buffer.

 Impact:
    These vulnerabilities could allow remote attackers to cause a denial of
    service, possibly execute arbitrary code, and/or allow remote users to
    bypass access control rules.

 Affected Products:
    - Turbolinux Appliance Server 1.0 Hosting Edition
    - Turbolinux Appliance Server 1.0 Workgroup Edition
    - Turbolinux 10 Server
    - Turbolinux 8 Server
    - Turbolinux 8 Workstation
    - Turbolinux 7 Server
    - Turbolinux 7 Workstation

 Solution:
    Please use the turbopkg (zabom) tool to apply the update. 
 ---------------------------------------------
 [Turbolinux 10 Server]
 # turbopkg
 or
 # zabom -u squid

 [other]
 # turbopkg
 or
 # zabom update squid
 ---------------------------------------------


 <Turbolinux Appliance Server 1.0 Hosting Edition>

   Source Packages
   Size: MD5

   squid-2.5.STABLE6-18.src.rpm
      1545346 da5e8ad41c39a640afebbc7ea6e63845

   Binary Packages
   Size: MD5

   squid-2.5.STABLE6-18.i586.rpm
       826797 b5a0c5da75747102c15752375f6720a7

 <Turbolinux Appliance Server 1.0 Workgroup Edition>

   Source Packages
   Size: MD5

   squid-2.5.STABLE6-18.src.rpm
      1545346 a590dd93ca013f6e9beeb58d8e553848

   Binary Packages
   Size: MD5

   squid-2.5.STABLE6-18.i586.rpm
       827336 510dd7c2069bee38d006ec7a4b45b117

 <Turbolinux 10 Server>

   Source Packages
   Size: MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Server/10/updates/SRPMS/squid-2.5.STABLE6-18.src.rpm
      1545346 13699916235bbca763232aa19564a4c0

   Binary Packages
   Size: MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Server/10/updates/RPMS/squid-2.5.STABLE6-18.i586.rpm
       851753 ec47db25d577aeff5abb6a6b7ca22e24
   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Server/10/updates/RPMS/squid-debug-2.5.STABLE6-18.i586.rpm
      1498631 2cd294de7c725273658b705ddd83f0e4

 <Turbolinux 8 Server>

   Source Packages
   Size: MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Server/8/updates/SRPMS/squid-2.5.STABLE6-18.src.rpm
      1545346 95bcbc52502fac9cc3778cd8d244d586

   Binary Packages
   Size: MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Server/8/updates/RPMS/squid-2.5.STABLE6-18.i586.rpm
       827344 a4113c23521606f97bfff52543672716

 <Turbolinux 8 Workstation>

   Source Packages
   Size: MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Workstation/8/updates/SRPMS/squid-2.5.STABLE6-18.src.rpm
      1545346 56932beaa952e1743b59c47e2d912d2c

   Binary Packages
   Size: MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Workstation/8/updates/RPMS/squid-2.5.STABLE6-18.i586.rpm
       827576 3e50a92f64d9b02bb0f165662651f9e4

 <Turbolinux 7 Server>

   Source Packages
   Size: MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Server/7/updates/SRPMS/squid-2.5.STABLE6-18.src.rpm
      1545346 915d08646b9360fd1b9707b905009c00

   Binary Packages
   Size: MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Server/7/updates/RPMS/squid-2.5.STABLE6-18.i586.rpm
       830770 7e8c4fe51b9c2dbf4547164327ed2a9c

 <Turbolinux 7 Workstation>

   Source Packages
   Size: MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Workstation/7/updates/SRPMS/squid-2.5.STABLE6-18.src.rpm
      1545346 ffe6da08068a188f87ee63d750428f67

   Binary Packages
   Size: MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Workstation/7/updates/RPMS/squid-2.5.STABLE6-18.i586.rpm
       831084 b9224b5fdf1b2b08cb42dba309c17556


 References:

 CVE
   [CAN-2005-0094]
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0094
   [CAN-2005-0095]
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0095
   [CAN-2005-0173]
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0173
   [CAN-2005-0175]
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0175
   [CAN-2005-0194]
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0194
   [CAN-2005-0211]
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0211

 --------------------------------------------------------------------------
 Revision History
    17 Feb 2005 Initial release
 --------------------------------------------------------------------------

 Copyright(C) 2005 Turbolinux, Inc. All rights reserved. 

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.7 (GNU/Linux)

iD8DBQFCFJ3RK0LzjOqIJMwRAsUNAJ9G85SHq9LQZcYl32kajh2s0tUl8wCfaccA
yqrHARYCjsUCXuUS+RfrnKQ=
=5T3h
-----END PGP SIGNATURE-----