Više od dvije godine prošlo je od otkrivanja 35 ranjivosti u caching proxyju Squid, a većina njih još uvijek nije riješena, upozorava sigurnosni stručnjak koji je prvi prijavio ove probleme.
U veljači 2021. godine, sigurnosni stručnjak Joshua Rogers analizirao je Squid i otkrio 55 ranjivosti u kodu projekta.
Do sada je riješeno samo 20 od njih. Glavni dio ranjivosti nije dobio oznake CVE, što znači da nema službenih zakrpa ili preporuka za njihovo rješavanje. Rogers je u pismu sigurnosnoj zajednici Openwall rekao da je, nakon dugog čekanja, odlučio objaviti ove informacije.
Rogers je detaljno opisao ranjivosti na svojoj web stranici, naglašavajući raznolikost problema – korištenje nakon oslobađanja (Use-After-Free), curenje memorije (memory leak), trovanje cacheom (cache poisoning), pogreške tvrdnji (assertion failure) i druge nedostatke u raznim komponentama. Pri tome je stručnjak izrazio razumijevanje za tim Squid, ističući da mnogi programeri open-source projekata rade volonterski i ne mogu uvijek brzo reagirati na slične probleme.
Treba napomenuti da se Squid trenutno koristi u milijunima primjeraka širom svijeta.
Preporuke Rogersa podrazumijevaju da svaki korisnik treba sam procijeniti je li Squid prikladan za njihov sustav. Inače, korisnici se mogu suočiti s kvarovima i rizicima u području informatičke sigurnosti.
Ova situacija podsjeća sve nas na važnost redovitog ažuriranja i osiguravanja sigurnosti softvera. Inače, kako ističe Rogers, 'nema smisla.'
Ovaj zabrinjavajući epizod postavlja ozbiljna pitanja o sigurnosti otvorenih projekata i njihovoj sposobnosti da se nose s neprekidnim tokom novih ranjivosti.
Ostaje se nadati da će sudionici zajednice i programeri poduzeti hitne mjere za rješavanje ove prijetnje u budućnosti.
Pismo Joshuu na Openwall (eng.)
Detaljiziranje problema na Joshuaovoj web stranici (eng.)
Izvor: linux.org.ru
