Efter tre års udvikling er den stabile udgave af proxy-serveren Squid 5.1 blevet præsenteret, klar til brug i produktionssystemer (udgivelserne 5.0.x havde status som beta-versioner). Efter tildelingen af stabil status til 5.x-grenen vil der kun blive lavet rettelser til sårbarheder og stabilitetsproblemer, og mindre optimeringer vil også blive tilladt. Udviklingen af nye funktioner vil foregå i den nye eksperimentelle gren 6.0. Brugerne af den tidligere stabile gren 4.x anbefales at planlægge overgangen til 5.x-grenen.
Hovednyhederne i Squid 5:
- Implementeringen af ICAP-protokollen (Internet Content Adaptation Protocol), der bruges til integration med eksterne systemer til indholdskontrol, har fået tilføjet support for data-tillægsmechansimen (trailer), der gør det muligt at vedhæfte yderligere metadata-overskrifter til svaret, som placeres efter meddelelsens brødtekst (for eksempel kan der overføres kontrolsummer og detaljer om identificerede problemer).
- Ved omdirigering af forespørgsler anvendes algoritmen 'Happy Eyeballs', som straks bruger den opnåede IP-adresse uden at vente på, at alle potentielt tilgængelige mål-IP-adresser IPv4 og IPv6 bliver løst. I stedet for at tage hensyn til indstillingen 'dns_v4_first' for at bestemme rækkefølgen af brugen af adressefamilierne IPv4 eller IPv6, tages der nu hensyn til rækkefølgen af svaret i DNS: hvis svaret fra DNS AAAA kommer først under venten på opløsning. IP-adresser Hvis svaret i DNS AAAA kommer først, vil den opnåede IPv6-adresse blive brugt. Dermed udføres indstillingen af den foretrukne adressefamilie nu på niveauet af firewall, DNS eller ved opstart med indstillingen '—disable-ipv6'. Den foreslåede ændring muliggør hurtigere TCP-forbindelsestider og mindsker indflydelsen af forsinkelser i DNS-opløsningen på ydeevnen.
- For brug i direktivet 'external_acl' er der tilføjet en behandler 'ext_kerberos_sid_group_acl' til godkendelse med gruppekontrol i Active Directory ved hjælp af Kerberos. For at anmode om gruppens navn bruges værktøjet ldapsearch, som leveres med OpenLDAP-pakken.
- Støtte til Berkeley DB formatet er blevet forældet på grund af licensproblemer. Berkeley DB 5.x-grenen har ikke været vedligeholdt i flere år og har uoprettede sårbarheder, og det er ikke muligt at opgradere til nyere versioner på grund af licensændringen til AGPLv3, hvis krav også gælder for applikationer, der bruger BerkeleyDB som biblioteker — Squid leveres under GPLv2, og AGPL er ikke kompatibel med GPLv2. I stedet for Berkeley DB er projektet overgået til databasen TrivialDB, som i modsætning til Berkeley DB er optimeret til samtidig adgang til databasen. Støtte til Berkeley DB er stadig bevaret, men i håndtererne "ext_session_acl" og "ext_time_quota_acl" anbefales det nu at bruge lagertypen "libtdb" i stedet for "libdb."
- Understøttelse af HTTP-hovedet CDN-Loop, defineret i RFC 8586, er blevet tilføjet, hvilket gør det muligt at opdage loops ved brug af indholdsleveringsnetværk (dette hoved giver beskyttelse mod situationer, hvor en anmodning under omdirigering mellem CDN'er af en eller anden grund vender tilbage til den oprindelige CDN, hvilket skaber en uendelig loop).
- Der er tilføjet understøttelse af omdirigering af ændrede (genkrypterede) HTTPS-anmodninger gennem andre proxyservere i cache_peer til SSL-Bump-mekanismen, der muliggør opsnapning af indholdet af krypterede HTTPS-sessioner, ved hjælp af en almindelig tunnel baseret på HTTP CONNECT-metoden (transmission gennem HTTPS understøttes ikke, da Squid stadig ikke kan transmittere TLS inden for TLS). SSL-Bump gør det muligt at etablere en TLS-forbindelse til destinationserveren, når den første opsnappede HTTPS-anmodning modtages og få dens certifikat. Derefter bruger Squid værtsnavnet fra det reelle certifikat modtaget fra serveren og opretter et falskt certifikat, som simulerer den anmodede server under interaktionen med klienten, mens den fortsat bruger TLS-forbindelsen oprettet med destinationserveren til at hente data (for at undgå advarsler i klientens browsere kræves det, at man tilføjer sit certifikat, der blev brugt til at generere de falske certifikater, i rodcertifikatlageret).
- Direktiverne mark_client_connection og mark_client_pack er blevet tilføjet for at knytte Netfilter mærker (CONNMARK) til klientens TCP-forbindelser eller enkelte pakker.
Efter de varme spor er udgivet versionerne Squid 5.2 og Squid 4.17, hvor sårbarheder er blevet rettet:
- CVE-2021-28116 — informationslækage ved behandling af specielt formaterede WCCPv2-beskeder. Sårbarheden giver en angriber mulighed for at beskadige listen over kendte WCCP-routere og omdirigere trafik fra klienter til sin egen vært. Problemet opstår kun i konfigurationer med aktiveret WCCPv2-support og en mulighed for at spoofe IP-adressen på routeren.
- CVE-2021-41611 — fejl ved verifikation TLS-certifikater, der muliggør adgang ved brug af ikke-pålidelige certifikater.
Kilde: opennet.ru
