Mere to år er gået siden opdagelsen af 35 sårbarheder i caching-proxyen Squid, og de fleste af dem er stadig ikke rettet, advarer en sikkerhedsekspert, der først rapporterede om disse problemer.
I februar 2021 gennemførte sikkerhedsspecialist Joshua Rogers en analyse af Squid og identificerede 55 sårbarheder i projektets kode.
Indtil videre er kun 20 af dem blevet rettet. Hovedparten af sårbarhederne har ikke fået CVE-nummer, hvilket betyder, at der ikke findes officielle rettelser eller anbefalinger til at løse dem. Rogers sagde i et brev til Openwall sikkerhedssamfundet, at han efter lang ventetid besluttede sig for at offentliggøre denne information.
Rogers har detaljeret uddybet sårbarhederne på sin hjemmeside, hvor han understreger mangfoldigheden af problemerne – brug efter frigivelse (Use-After-Free), hukommelseslækage (memory leak), cache-forgiftning (cache poisoning), assertionsfejl (assertion failure) og andre mangler i forskellige komponenter. Samtidig udtrykte specialisten forståelse for Squid-teamet, idet han bemærkede, at mange udviklere af open-source projekter arbejder på frivillig basis og ikke altid kan reagere hurtigt på sådanne problemer.
Det er værd at bemærke, at Squid i øjeblikket bruges i millioner af eksemplarer over hele verden.
Rogers' anbefalinger indebærer, at hver bruger selv skal vurdere, om Squid er egnet til deres system. Ellers kan brugerne støde på nedbrud og sikkerhedsrisici.
Denne situation minder os alle om vigtigheden af regelmæssige opdateringer og sikring af software. Ellers, som Rogers understreger, "er der ikke noget udbytte af det."
Denne bekymrende episode rejser alvorlige spørgsmål om sikkerheden ved åbne projekter og deres evne til at håndtere den vedvarende strøm af nye sårbarheder.
Man kan kun håbe, at medlemmerne af samfundet og udviklerne vil træffe hastende foranstaltninger for at afhjælpe denne trussel i fremtiden.
Joshuas brev til Openwall (eng.)
Detaljer om problemerne på Joshuas hjemmeside (eng.)
Kilde: linux.org.ru
