સ્ક્વિડ પ્રોક્સી સર્વરમાં 55 નબળાઈઓ ઓળખવામાં આવી છે, જેમાંથી 35 હજુ સુધી ઠીક કરવામાં આવી નથી

2021 માં હાથ ધરવામાં આવેલા ઓપન-સોર્સ કેશીંગ પ્રોક્સી સર્વર સ્ક્વિડના સ્વતંત્ર સુરક્ષા ઓડિટના પરિણામો પ્રકાશિત થયા છે. પ્રોજેક્ટના કોડબેઝના ઓડિટમાં 55 નબળાઈઓ ઓળખાઈ હતી, જેમાંથી 35 હાલમાં ડેવલપર્સ દ્વારા અનપેચ કરવામાં આવી છે (ઝીરો-ડે ઇશ્યૂ). સ્ક્વિડના ડેવલપર્સને અઢી વર્ષ પહેલાં આ સમસ્યાઓ વિશે જાણ કરવામાં આવી હતી, પરંતુ તેમણે ક્યારેય તેમના સુધારા પૂર્ણ કર્યા નથી. આખરે, ઓડિટના લેખકે બધી સમસ્યાઓ ઠીક થાય તે પહેલાં માહિતી જાહેર કરવાનું નક્કી કર્યું, સ્ક્વિડના ડેવલપર્સને અગાઉથી સૂચિત કર્યા.

ઓળખાયેલ નબળાઈઓમાં:

• હેશ ઓથેન્ટિકેશન (ડાયજેસ્ટ ઓથેન્ટિકેશન) ના અમલીકરણમાં સ્ટેક ઓવરફ્લો ત્યારે થાય છે જ્યારે પ્રોક્સી-ઓથોરાઇઝેશન HTTP હેડરને અતિશય મોટા "ડાયજેસ્ટ એનસી" ફીલ્ડ મૂલ્ય સાથે પ્રક્રિયા કરવામાં આવે છે.
• TRACE પદ્ધતિનો ઉપયોગ કરીને વિનંતી હેન્ડલરમાં મેમરી મુક્ત થયા પછી તેને ઍક્સેસ કરવી.
• રેન્જ હેડર (CVE-2021-31807) સાથે HTTP વિનંતીઓમાં ઉપયોગ-આફ્ટર-ફ્રી નબળાઈ.
• HTTP હેડર X-Forwarded-For ની પ્રક્રિયા કરતી વખતે સ્ટેક ઓવરફ્લો થયો.
• ચંક કરેલી વિનંતીઓ પર પ્રક્રિયા કરતી વખતે સ્ટેક ઓવરફ્લો.
• CacheManager વેબ ઇન્ટરફેસમાં મેમરી મુક્ત થયા પછી તેને ઍક્સેસ કરવી.
• HTTP રેન્જ હેડર હેન્ડલર (CVE-2021-31808) માં પૂર્ણાંક ઓવરફ્લો.
• ESI (એજ સાઇડ ઇન્ક્લુડ્સ) એક્સપ્રેશન પ્રોસેસરમાં હોલ્ડ આફ્ટર ફ્રી અને બફર ઓવરફ્લો.
• બહુવિધ મેમરી લીક, રીડ્સ પર બફર ઓવરરન્સ અને ક્રેશ સમસ્યાઓ.

સોર્સ: opennet.ru