Stabiilne Squid 5 proxy-serveri väljaanne

Pärast kolmeaastast arendust on esitlemisel Squid 5.1 stabiilne väljaanne, mis on valmis kasutamiseks töösüsteemides (väljaanded 5.0.x olid beetaversioonid). Pärast 5.x haru stabiilseks tunnustamist viiakse selles edaspidi läbi ainult turvavigade ja stabiilsusega seotud probleemide parandamised, samuti on lubatud väikesed optimeerimised. Uute funktsioonide arendamine toimub uues katseharus 6.0. Eelmisel stabiilsel 4.x harul olevatel kasutajatel soovitatakse planeerida üleminekut 5.x harule.

Peamised uuendused Squid 5:

• ICAP (Internet Content Adaptation Protocol) protokolli rakendusse, mida kasutatakse väliste sisu kontrollimise süsteemidega integreerimiseks, on lisatud andmete lõppside (trailer) mehhanismi tugi, mis võimaldab vastusele lisada täiendavaid metaandmeid, mis asetatakse sõnumi kehast pärast (näiteks võib edastada kontrollsumma ja andmed tuvastatud probleemide kohta).
• Päringute suunamisel on kasutusele võetud 'Happy Eyeballs' algoritm, mis kasutab koheselt saadud IP-aadressi, ootamata kõigi potentsiaalselt saadaval olevate sihtaadresside IPv4 ja IPv6 lahendamise lõpetamist. 'dns_v4_first' seadistuse asemel, mis määras IPv4 või IPv6 aadresside kasutamise järjekorra, arvestatakse nüüd DNS'i vastuse järjekorda: kui DNS AAAA vastus laekub esimesena, kasutatakse saadud IPv6 aadressi. Seega täidetakse eelistatud aadresside perekonna seadistus nüüd tulemüüritasemel, DNS'is või käivitades valikuga '--disable-ipv6'. Pakutud muudatus võimaldab kiirendada TCP-ühenduste loomise aega ja vähendada DNS'i lahendamise viibete mõju jõudlusele. IP-aadressid Direktiivi 'external_acl' kasutamiseks on lisatud töötleja 'ext_kerberos_sid_group_acl' Active Directory gruppide autentimiseks Kerberose abil. Rühma nime küsimiseks kasutatakse ldapsearch utiliiti, mille pakub OpenLDAP pakett.
• Kasutatakse lause sees
• Berkeley DB andmedebaasi formaadi toetus on muutunud aegunuks litsentsiprobleemide tõttu. Berkeley DB 5.x haru ei ole juba mitu aastat toetatud ja jääb parandamata haavatavustega, samas kui üleminek uuematele väljaannetele on takistatud AGPLv3 litsentsimuudatuse tõttu, mille nõuded kehtivad ka rakenduste kohta, mis kasutavad BerkeleyDB-d raamatukoguna — Squid on litsentseeritud GPLv2 alusel, samas kui AGPL ei ole GPLv2-ga ühilduv. Berkeley DB asemel on projekt üleminekul TrivialDB andmebaasi kasutamisele, mis on erinevalt Berkeley DB-st optimeeritud samaaegseks kasutamiseks. Berkeley DB toetus on veel olemas, kuid töötlejates "ext_session_acl" ja "ext_time_quota_acl" soovitatakse nüüd kasutada „libtdb“ salvestustüübi asemel „libdb“.
• Lisa toetus HTTP-päise CDN-Loop, mis on määratud RFC 8586-s ja võimaldab tuvastada tsükleid sisu edastamise võrkudes (päis pakub kaitset olukordade eest, kus päring suunatakse CDN-ide vahel ümber ja mingil põhjusel naaseb algsesse CDN-i, tekitades lõputu tsükli).
• SSL-Bump mehhanismile, mis võimaldab peita krüpteeritud HTTPS-seansside sisu, on lisatud toetus muudetud (uuesti krüpteeritud) HTTPS-päringute ümbersuunamiseks teistele proksiserveritele, mis on määratud cache_peer-is, kasutades tavalist tunnelit HTTP CONNECT meetodil (edastamine HTTPS kaudu ei ole toetatud, kuna Squid ei saa veel edastada TLS-i TLS-i sees). SSL-Bump võimaldab esimesel peetaval HTTPS-päringul luua TLS-ühenduse sihiserveriga ja saada tema sertifikaadi. Seejärel kasutab Squid serverilt saadud sertifikaadi pärishostname'i ning loob vale sertifikaadi, millega ta simuleerib taotletud serverit kliendiga suheldes, jätkates samas TLS-ühenduse kasutamist, mis on loodud sihiserveriga (et vale sertifikaadi kasutamine ei põhjustaks klientide brauserites hoiatuste kuvamist, tuleb lisada vale sertifikaatide genereerimise jaoks kasutatud sertifikaat oma juurtserifikaatide ladustamisse).
• Lisa direktiivid mark_client_connection ja mark_client_pack Netfilteri (CONNMARK) sildistamiseks kliendi TCP-ühendustele või eraldi pakettidele.

Järgmisena on kuumade jälgedega avaldatud Squid 5.2 ja Squid 4.17, milles on kõrvaldatud haavatavused:

• CVE-2021-28116 — andmeleke spetsiaalselt vormistatud WCCPv2 sõnumite töötlemisel. Haavatavus võimaldab ründajal kahjustada tuntud WCCP marsruuterite loendit ja suunata klientide proxy-serveri liikluse enda hostile. Probleem esineb ainult konfiguratsioonides, kus on lubatud WCCPv2 tugi ja IP-aadressi marsruutimise spoofing on võimalik.
• CVE-2021-41611 — viga kontrollimisel TLS-sertifikaatide, mis võimaldab juurdepääsu kasutades usaldamatuid sertifikaate.

Allikas: opennet.ru