libsoup: Generation of Error Message Containing Sensitive Information (CVE-2025-62168)

Was ist betroffen, was ist zu tun

Squid ist ein Caching-Proxy für das Web. In Versionen von Squid vor 7.2 führt das Versäumnis, HTTP-Authentifizierungsanmeldeinformationen in der Fehlerbehandlung zu redigieren, zu einer Informationspreisgabe.

Aktualisieren Sie squid-cache Squid auf Version 7.2.

Betroffen

• squid-cache Squid lt *..7.2

Behoben in

• squid-cache Squid 7.2

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Squid ist ein Caching-Proxy für das Web. In Versionen von Squid vor 7.2 führt das Versäumnis, HTTP-Authentifizierungsanmeldeinformationen in der Fehlerbehandlung zu redigieren, zu einer Informationspreisgabe. Die Schwachstelle ermöglicht einem Skript, die Sicherheitsschutzmaßnahmen des Browsers zu umgehen und die Anmeldeinformationen zu erlernen, die ein vertrauenswürdiger Client zur Authentifizierung verwendet. Dies könnte es einem entfernten Client ermöglichen, Sicherheitstoken oder intern von einer Webanwendung verwendete Anmeldeinformationen zu identifizieren, die Squid für das Backend-Lastenausgleich verwenden. Diese Angriffe erfordern nicht, dass Squid mit HTTP-Authentifizierung konfiguriert ist. Die Schwachstelle wurde in Version 7.2 behoben. Als Workaround können Administratoren die Generierung von Debuginformationen in E-Mail-Links durch Konfiguration der Datei squid.conf mit `email_err_data off` deaktivieren.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: BSI WID Portal

Weakness-Klassen (CWE)

• CWE-209Generation of Error Message Containing Sensitive Information

  Base

  The product generates an error message that includes sensitive information about its environment, users, or associated data.

  Eintrag bei MITRE CWE-209

• CWE-550Server-generated Error Message Containing Sensitive Information

  Variant

  Certain conditions, such as network failure, will cause a server error message to be displayed.

  Eintrag bei MITRE CWE-550

Quellen & Referenzen

• wireshark.orgsecurity/wnpa-sec-2025-07.htmlExploit, Issue-Tracker, Herstellerhinweis
• gitlab.comGitLab Issue #20860Issue-Tracker, Zugang erforderlich, Exploit, Issue-Tracker, Patch, Hinweis Dritter
• groups.google.comDjango releases announcementsadvisory, Mailingliste, Release Notes, Mailingliste
• docs.djangoproject.comDjango security archivefix, Patch, Herstellerhinweis, Herstellerhinweis
• djangoproject.comDjango security releases issued: 5.2.9, 5.1.15, and 4.2.27fix, Patch, Herstellerhinweis, Herstellerhinweis
• GitHub Security Advisoriesadvisories/GHSA-vrcr-9hj9-jcg6advisory
• NVD (NIST)vuln/detail/CVE-2025-64460web
• github.comdjango/django/commit/0db9ea4669312f1f4973e09f4bca06ab9c1ec74bweb
• github.comdjango/django/commit/1dbd07a608e495a0c229edaaf84d58d8976313b5web
• github.comdjango/django/commit/4d2b8803bebcdefd2b76e9e8fc528d5fddea93f0web
• github.comdjango/django/commit/99e7d22f55497278d0bcb2e15e72ef532e62a31dweb
• docs.djangoproject.comen/dev/releases/securityweb
• github.comdjango/djangopackage
• github.compypa/advisory-database/tree/main/vulns/django/PYSEC-2025-109.ya…web
• djangoproject.comweblog/2025/dec/02/security-releasesweb
• bugzilla.mozilla.orgshow_bug.cgi?id=2000218
• mozilla.orgsecurity/advisories/mfsa2025-92
• mozilla.orgsecurity/advisories/mfsa2025-93
• mozilla.orgsecurity/advisories/mfsa2025-94
• mozilla.orgsecurity/advisories/mfsa2025-95

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE – Reanalyses, CVSS-Updates, CPE-Diffs.

1. CVE Translated19.10.2026nvd@nist.gov

   • Translation: nachher Title: Squid-cache, Description: Squid es un proxy de almacenamiento en caché para la Web. En versiones de Squid anteriores a la 7.2, un fallo al redactar las credenciales de autenticación HTTP en el manejo de errores permite la revelación de información. La vulnerabilidad permite que un script omita las protecciones de seguridad del navegador y aprenda las credenciales que un cliente de confianza utiliza para autenticarse. Esto potencialmente permite a un cliente remoto identificar tokens de seguridad o credenciales utilizados internamente por una aplicación web que utiliza Squid para el equilibrio de carga de backend. Estos ataques no requieren que Squid esté configurado con autenticación HTTP. La vulnerabilidad está corregida en la versión 7.2. Como solución alternativa, deshabilite la información de depuración en los enlaces mailto del administrador generados por Squid configurando squid.conf con email_err_data off.