{"id":110912,"date":"2023-10-18T09:10:25","date_gmt":"2023-10-18T07:10:25","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/desyatki-uyazvimostej-v-squid-ne-mogut-ispravit-uzhe-25-goda"},"modified":"2023-10-18T09:10:25","modified_gmt":"2023-10-18T07:10:25","slug":"desyatki-uyazvimostej-v-squid-ne-mogut-ispravit-uzhe-25-goda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/desyatki-uyazvimostej-v-squid-ne-mogut-ispravit-uzhe-25-goda","title":{"rendered":"Des dizaines de vuln\u00e9rabilit\u00e9s dans Squid ne peuvent pas \u00eatre corrig\u00e9es depuis 2,5 ans","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Plus de deux ans se sont \u00e9coul\u00e9s depuis la d\u00e9couverte de 35 vuln\u00e9rabilit\u00e9s dans le proxy de cache Squid, et la plupart d'entre elles ne sont toujours pas corrig\u00e9es, avertit un expert en s\u00e9curit\u00e9 qui a \u00e9t\u00e9 le premier \u00e0 signaler ces probl\u00e8mes.<\/p>\n
En f\u00e9vrier 2021, l'expert en s\u00e9curit\u00e9 Joshua Rogers a analys\u00e9 Squid et a identifi\u00e9 55 vuln\u00e9rabilit\u00e9s dans le code du projet.<\/p>\n
\u00c0 ce jour, seules 20 d'entre elles ont \u00e9t\u00e9 corrig\u00e9es. La majorit\u00e9 des vuln\u00e9rabilit\u00e9s n'ont pas re\u00e7u de d\u00e9signation CVE, ce qui signifie qu'il n'y a pas de corrections officielles ou de recommandations pour les r\u00e9soudre. Rogers a d\u00e9clar\u00e9 dans une lettre \u00e0 la communaut\u00e9 de s\u00e9curit\u00e9 Openwall qu'apr\u00e8s une longue attente, il avait d\u00e9cid\u00e9 de publier ces informations.<\/p>\n
Rogers a d\u00e9taill\u00e9 les vuln\u00e9rabilit\u00e9s sur son site, soulignant la diversit\u00e9 des probl\u00e8mes - utilisation apr\u00e8s lib\u00e9ration (Use-After-Free), fuite de m\u00e9moire (memory leak), empoisonnement de cache (cache poisoning), \u00e9chec d'assertion (assertion failure) et d'autres d\u00e9fauts dans divers composants. Il a exprim\u00e9 sa compr\u00e9hension envers l'\u00e9quipe de Squid, notant que de nombreux d\u00e9veloppeurs de projets open-source travaillent sur une base b\u00e9n\u00e9vole et ne peuvent pas toujours r\u00e9agir rapidement \u00e0 de tels probl\u00e8mes.<\/p>\n
Il convient de noter que Squid est actuellement utilis\u00e9 dans des millions d'exemplaires dans le monde entier.<\/p>\n
Les recommandations de Rogers impliquent que chaque utilisateur doit \u00e9valuer si Squid convient \u00e0 leur syst\u00e8me. Dans le cas contraire, les utilisateurs peuvent \u00eatre confront\u00e9s \u00e0 des pannes et \u00e0 des risques en mati\u00e8re de s\u00e9curit\u00e9 informatique.<\/p>\n
Cette situation nous rappelle \u00e0 tous l'importance de la mise \u00e0 jour r\u00e9guli\u00e8re et de la s\u00e9curit\u00e9 des logiciels. Sinon, comme le souligne Rogers, \u00ab cela ne servira \u00e0 rien \u00bb.<\/p>\n
Ce triste \u00e9pisode soul\u00e8ve des questions s\u00e9rieuses sur la s\u00e9curit\u00e9 des projets open-source et leur capacit\u00e9 \u00e0 faire face \u00e0 un flux incessant de nouvelles vuln\u00e9rabilit\u00e9s.<\/p>\n
On peut esp\u00e9rer que les membres de la communaut\u00e9 et les d\u00e9veloppeurs prendront des mesures urgentes pour \u00e9liminer cette menace \u00e0 l'avenir.<\/p>\n