Více než dva roky uplynuly od odhalení 35 zranitelností v cachingovém proxy Squid a většina z nich dosud nebyla opravena, varuje bezpečnostní expert, který jako první informoval o těchto problémech.
V únoru 2021 provedl bezpečnostní odborník Joshua Rogers analýzu Squid a odhalil 55 zranitelností v kódu projektu.
K dnešnímu dni bylo opraveno pouze 20 z nich. Většina zranitelností nebyla označena jako CVE, což znamená, že neexistují žádná oficiální opravy nebo doporučení k jejich odstranění. Rogers v dopise komunitě bezpečnosti Openwall řekl, že po dlouhém čekání se rozhodl zveřejnit tyto informace.
Rogers podrobně popsal zranitelnosti na svém webu, zdůrazňující rozmanitost problémů – použití po uvolnění (Use-After-Free), únik paměti (memory leak), zamoření cache (cache poisoning), selhání potvrzení (assertion failure) a další nedostatky v různých komponentách. Přitom vyjádřil pochopení pro tým Squid, poznamenávajíc, že mnozí vývojáři open-source projektů pracují na dobrovolné bázi a ne vždy mohou reagovat na podobné problémy.
Je třeba poznamenat, že Squid je v současnosti používán v milionech kopií po celém světě.
Rogersova doporučení naznačují, že každý uživatel by měl sám vyhodnotit, zda je Squid vhodný pro jejich systém. V opačném případě se uživatelé mohou setkat s výpadky a riziky v oblasti informační bezpečnosti.
Tato situace nám všem připomíná důležitost pravidelného aktualizování a zabezpečení softwaru. Jinak, jak zdůrazňuje Rogers, "to nemá smysl".
Tento znepokojivý epizod vyvolává vážné otázky o bezpečnosti otevřených projektů a jejich schopnosti vyrovnat se s neustálým proudem nových zranitelností.
Zůstává doufat, že účastníci komunity a vývojáři podniknou okamžité kroky k odstranění této hrozby v budoucnu.
Dopis Joshuovi na Openwall (angl.)
Podrobnosti o problémech na Joshuaově webu (angl.)
Zdroj: linux.org.ru
