Squid 5 proksi serveri stabiilne versioon

Pärast kolmeaastast arendust on välja antud stabiilne Squid 5.1 proxy-serveri versioon, mis on valmis kasutamiseks tootmissüsteemides (versioonid 5.0.x olid beetaversioonid). Pärast 5.x haru muutmist stabiilseks, tehakse selles edaspidi vaid turvafikseerimisi ja stabiilsusprobleemide lahendusi, samuti on lubatud väikeste optimeerimiste tegemine. Uute funktsioonide arendamine toimub uues katseharus 6.0. Eelmise stabiilse 4.x haru kasutajatele soovitatakse planeerida üleminekut 5.x harule.

Peamised uuendused Squid 5:

• ICAP-protokolli (Internet Content Adaptation Protocol), mida kasutatakse sisu kontrollimise väliste süsteemidega integreerimiseks, on lisatud andmete kinnitamise mehhanismi toetus (trailer), mis võimaldab vastusele lisada täiendavaid päiseid metainformatsiooniga, mis asuvad sõnumi keha järel (näiteks saab edastada kontrollsummat ja teavet tuvastatud probleemide kohta).
• Päringu taasjuhtimisel kasutatakse algoritmi „Happy Eyeballs“, mis kasutab kohe saadud IP-aadressi, ootamata, kuni kõik potentsiaalselt kätte saadavad sihtadressid IPv4 ja IPv6 on lahendatud. Selle asemel, et arvestada seadistuse „dns_v4_first“ määramine IPv4 või IPv6 aadresside kasutamise järjestust, arvestatakse nüüd DNS-i vastuse järjekorda: kui DNS AAAA vastus tuleb esimesena, kasutatakse saadud IPv6 aadressi. IP-aadressid Seega toimub eelistatud aadressigruppi seadistamine nüüd tulemüüris, DNS-is või käivitamisvalikuga „—disable-ipv6“. Pakutud muudatus võimaldab kiirendada TCP-ühenduste loomise aega ja vähendada DNS-i lahendamise viivituste mõju jõudlusele.
• Direktiivile „external_acl“ on lisatud töötlija „ext_kerberos_sid_group_acl“, et autentida Active Directory gruppide kontrollimisega Kerberos. Grupinime pärimiseks kasutatakse ldapsearch utiliiti, mille pakub OpenLDAP pakett.
• Berkeley DB andmebaasi vormi tugi on peatatud litsentsiprobleemide tõttu. Berkeley DB 5.x haru ei ole juba mitu aastat hoolduses ja jääb avatud haavatavustega, ning üleminek uuematele väljaannetele ei ole võimalik AGPLv3 litsentsi muudatuste tõttu, mille nõuded kehtivad ka rakendustele, mis kasutavad BerkeleyDB-d teegina – Squid on välja antud GPLv2 litsentsi alusel ja AGPL on GPLv2-ga ühilduvam. Berkeley DB asemel on projekt viidud üle TrivialDB andmebaasi kasutamisele, mis on optimeeritud samal ajal mitmeühenduslikuks juurdepääsuks andmebaasile, erinevalt Berkeley DB-st. Berkeley DB tugi on veel alles, kuid „ext_session_acl“ ja „ext_time_quota_acl“ töötlejates soovitatakse nüüd kasutada salvestustüüpi „libtdb“ asemel „libdb“.
• Lisatud tugi HTTP-pealkirjale CDN-Loop, mis on määratletud RFC 8586-s ja võimaldab avastada tsükleid sisu edastamise võrkudes (pealkiri pakub kaitset olukordade eest, kus päring, suunatakse CDN-id vahel, mingil põhjusel naaseb originaalsesse CDN-i, moodustades lõpmatu tsükli).
• SSL-Bump mehhanism, mis võimaldab krüpteeritud HTTPS-seansside sisu interceptimist, on saanud toe muudetud (uuesti krüpteeritud) HTTPS-päringute suunamiseks teistele proxy-serveritele, mis on määratud cache_peer'is, kasutades tavalist tunneli meetodit HTTP CONNECT kaudu (andmete edastamine HTTPS-i kaudu ei ole toetatud, kuna Squid ei saa praegu edastada TLS-i TLS-i sees). SSL-Bump võimaldab esimest interceptitud HTTPS-päringut vastu võttes luua TLS-i ühenduse sihiserveriga ja saada selle sertifikaadi. Pärast seda kasutab Squid sertifikaadist saadud tegelikku hostinime ja loob vale sertifikaadi, millega simuleerib nõutud serverit kliendiga suheldes, samal ajal jätkates andmete saamiseks loodud TLS-i ühenduse kasutamist sihiserveriga (et vale sertifikaadi kasutamine ei tooks kaasa klientide brauserites hoiatuste ilmumist, tuleb lisada vale sertifikaat, millega vale sertifikaadid genereeriti, juursertifikaatide ladustamisse).
• Lisatud on mark_client_connection ja mark_client_pack direktiivid, et siduda Netfilteri (CONNMARK) sildid TCP-kliendikontaktide või üksikute paketiga.

Järgmisena on kuumade jälgede pealt avaldatud versioonid Squid 5.2 ja Squid 4.17, kus on kõrvaldatud haavatavused:

• CVE-2021-28116 — teabe leke WCCPv2 spetsiaalselt vormindatud sõnumite töötlemisel. Haavatavus võimaldab ründajal kahjustada tuntud WCCP ruuteri nimekirja ja suunata kliendi proksi-serveri liiklust oma hostile. Probleem ilmneb ainult WCCPv2 toe aktiivsete konfiguratsioonide korral ja juhul, kui ruuteri IP-aadresse on võimalik petta.
• CVE-2021-41611 — viga kontrollimisel TLS-sertifikaadid, mis võimaldab juurdepääsu kasutada ebaregulaarsete sertifikaatidega.

Allikas: opennet.ru