Több mint két év telt el azóta, hogy 35 sebezhetőséget fedeztek fel a Squid gyorsítótárazó proxiban, és a legtöbbjük még mindig nem került javításra, figyelmeztet egy biztonsági szakértő, aki először számolt be ezekről a problémákról.
2021 februárjában Joshua Rogers biztonsági szakértő elemzést végzett a Squid-ról, és 55 sebezhetőséget tárt fel a projekt kódjában.
Jelenleg mindössze 20 sebezhetőséget javítottak ki. A sebezhetőségek jelentős része nem kapott CVE jelzést, ami azt jelenti, hogy nincs hivatalos javítás vagy ajánlás a megszüntetésükre. Rogers az Openwall biztonsági közösségének írt levelében elmondta, hogy a hosszú várakozás után úgy döntött, nyilvánosságra hozza ezt az információt.
Rogers részletesen ismertette a sebezhetőségeket a saját weboldalán, hangsúlyozva a problémák sokféleségét – utánafertőzés (Use-After-Free), memória szivárgás (memory leak), gyorsítótár mérgezés (cache poisoning), érvényességi hiba (assertion failure) és egyéb hiányosságok különböző komponensekben. Ugyanakkor a szakértő megértését fejezte ki a Squid csapattal szemben, hangsúlyozva, hogy sok open-source projekt fejlesztője önkéntesként dolgozik, és nem mindig tudnak gyorsan reagálni ezekre a problémákra.
Érdemes megjegyezni, hogy a Squid jelenleg világszerte több millió példányban használatos.
Rogers ajánlása azt jelenti, hogy minden felhasználónak saját magának kell értékelnie, hogy a Squid megfelel-e az ő rendszerének. Ellenkező esetben a felhasználók leállásokkal és információbiztonsági kockázatokkal szembesülhetnek.
Ez a helyzet emlékeztet minket arra, hogy mennyire fontos a szoftverek rendszeres frissítése és biztonságának biztosítása. Ellenkező esetben, ahogy Rogers hangsúlyozza, „nincs értelme ennek”.
Ez a aggasztó esemény komoly kérdéseket vet fel a nyílt forráskódú projektek biztonságával és a folyamatosan érkező új sebezhetőségek kezelésével kapcsolatban.
Reméljük, hogy a közösség tagjai és a fejlesztők sürgős intézkedéseket hoznak ennek a fenyegetésnek a megszüntetésére a jövőben.
Joshua levele az Openwall-on (angol.)
A problémák részletezése Joshua weboldalán (angol.)
Forrás: linux.org.ru
