Повече от две години са минали, откакто бяха открити 35 уязвимости в кеширащия прокси Squid, и повечето от тях все още не са отстранени, предупреждава експерт по сигурността, който първи съобщи за тези проблеми.
През февруари 2021 г. специалистът по сигурност Джошуа Роджърс проведе анализ на Squid и откри 55 уязвимости в кода на проекта.
Към момента са били отстранени само 20 от тях. Основната част от уязвимостите все още не са получили обозначения CVE, което означава липса на официални поправки или препоръки за тяхното отстраняване. Роджърс в писмо до общността за сигурност Openwall заяви, че след дълго очакване е решил да публикува тази информация.
Роджърс детализира уязвимостите на сайта си, подчертавайки разнообразието от проблеми – ползване след освобождаване (Use-After-Free), изтичане на памет (memory leak), отравяне на кеша (cache poisoning), грешка при потвърждаване (assertion failure) и други недостиг в различни компоненти. В същото време специалистът изрази разбиране към екипа на Squid, отбелязвайки, че много разработчици на open-source проекти работят на доброволни начала и не винаги могат да реагират бързо на подобни проблеми.
Важно е да се отбележи, че Squid в момента се използва в милиони инстанции по целия свят.
Препоръките на Роджърс предполагаха, че всеки потребител трябва самостоятелно да оценява дали Squid е подходящ за тяхната система. В противен случай потребителите могат да срещнат сривове и рискове в областта на информационната сигурност.
Тази ситуация ни напомня на всички нас за важността на редовното обновление и осигуряване на сигурността на софтуера. В противен случай, както подчертава Роджърс, „няма да има полза от това“.
Този тревожен епизод поставя сериозни въпроси относно сигурността на отворените проекти и тяхната способност да се справят с непрекъснатия поток от нови уязвимости.
Остава да се надяваме, че участниците в общността и разработчиците ще предприемат спешни мерки за отстраняване на тази заплаха в бъдеще.
Писмото на Джошуа към Openwall (англ.)
Детайлизиране на проблемите на сайта на Джошуа (англ.)
Източник: linux.org.ru
