2025年10月11日 オープンソースのHTTPプロキシ「Squid」に、情報漏えいに分類される重大な脆弱性 CVE-2025-62168 が明らかになりました。
GitHubのアドバイザリではクリティカルとされ、CVSS v3のベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N（ネットワーク経由・低複雑性・認証不要・ユーザー操作不要・スコープ変更・機密性/完全性に高い影響）と示されています。外部記事ではCVSS 10.0級として報じられており、運用形態によっては極めて深刻な影響になり得ます。
脆弱性の対象バージョン
Squid 7.1まで
脆弱性の対策バージョン
バージョン7.2へ更新するか、該当パッチ（コミット 0951a06）を適用。
脆弱性の概要
エラー画面の生成に関連する詳細情報の埋め込みで、認証ヘッダー等がマスクされない経路が存在しました。
特にエラーページのテンプレートで使われる %R（リクエスト）や%W（mailtoリンク用データ）の展開、TRACE応答などでマスク漏れが起き得ました。
email_err_data（エラーページ内のmailtoリンクに詳細を埋め込む）が有効だと、メール本文にリクエストヘッダーがそのまま含まれる場合があり、資格情報露出のリスクが跳ね上がります。
関連記事
FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471)
イギリス政府、ハッカーやランサムウェア グループへの身代金 支払いの禁止を発表
SonicWall「SMA1000」シリーズに深刻なSSRF 脆弱性(CVE-2025-40595)
Microsoft Edgeに深刻な2件の脆弱性(CVE-2025-6554,CVE-2025-49713)
Cisco ISEに高深刻度のDoS 脆弱性（CVE-2025-20343）
Notepad++のアップデータに深刻な脆弱性、更新プロセスを乗っ取られマルウェアが配布される恐れ(CVE-2023-40031)
中小企業のセキュリティ対策、7割が基本的な対策を実施も課題残る-IPA調査
Google広告で読売新聞のフィッシング サイトへ誘導 吉川晃司さんと黒柳徹子さんの偽対談 詐欺広告に注意
伊予銀行、アンケートの情報流出、ローレルバンクマシンのJijillaへの不正アクセスが原因
