Három év fejlesztés után bemutatásra került a stabil kiadása a Squid 5.1 proxy-szervernek, amely készen áll a munkarákban való alkalmazásra (az 5.0.x verziók beta státuszban voltak). Miután a 5.x ágat stabilnak minősítették, ezentúl csak biztonsági hiba- és stabilitási problémák javítása fog történni benne, továbbá kis optimalizációk is megengedettek. Az új lehetőségek fejlesztése egy új kísérleti 6.0 ágon történik. A korábbi stabil 4.x ágról használóknak ajánlott megtervezniük az átállást az 5.x ágra.
A Squid 5 fő újdonságai:
- Az ICAP (Internet Content Adaptation Protocol) protokoll megvalósításába, amelyet a külső tartalomellenőrző rendszerekkel való integrációra használnak, támogatás került bevezetésre az adatok csatlakoztatásának (trailer) mechanizmusára, amely lehetővé teszi további fejlécek csatolását válaszként a metaadatokkal, amelyek az üzenet törzsén kívül helyezkednek el (például átadható a checksum és a felismert problémák részletei).
- A kérések átirányításához a 'Happy Eyeballs' algoritmus került alkalmazásra, amely azonnal használja a kapott IP-címet, anélkül, hogy megvárná az összes potenciálisan elérhető IPv4 és IPv6 céleset rezolválását. Az 'dns_v4_first' beállítás figyelembevételét a címhasználat sorrendjének meghatározására most a DNS válasz sorrendje helyettesíti: ha a rezolválás várása közben az első DNS AAAA válasz érkezik, akkor az IPv6 címet fogja használni. Így a preferált címcsoport beállítása most a tűzfal, a DNS vagy a '--disable-ipv6' opcióval végzett indítás szintjén végezhető. IP address Az 'external_acl' direktívához hozzáadva lett az 'ext_kerberos_sid_group_acl' kezelő, amely az Active Directory csoportok ellenőrzésével történő hitelesítéshez szükséges Kerberos segítségével. A csoportnév megkéréséhez az ldapsearch segédprogramot használják, amely az OpenLDAP csomag része.
- Az Active Directory csoportok hitelesítéséhez Kerberos segítségével került bevezetésre az 'ext_kerberos_sid_group_acl' kezelő az 'external_acl' direktívában. A csoport neve kéréséhez az ldapsearch segédprogramot használják, amely az OpenLDAP csomag része.
- A Berkeley DB database format support has been deprecated due to licensing issues. The Berkeley DB 5.x branch has not been maintained for several years and remains with unresolved vulnerabilities. Changing to newer releases is hindered by the licensing change to AGPLv3, which also applies to applications using BerkeleyDB as a library — Squid is under GPLv2 license, and AGPL is incompatible with GPLv2. Instead of Berkeley DB, the project has transitioned to using the TrivialDB database, which, unlike Berkeley DB, is optimized for simultaneous concurrent access to the database. Support for Berkeley DB is still retained, but in the handlers 'ext_session_acl' and 'ext_time_quota_acl', it is now recommended to use the storage type 'libtdb' instead of 'libdb'.
- Support for the HTTP header CDN-Loop, defined in RFC 8586, has been added, which allows for the detection of loops when using content delivery networks (the header provides protection against situations where a request, during redirection between CDNs, returns to the original CDN for some reason, creating an infinite loop).
- The SSL-Bump mechanism, which allows intercepting the content of encrypted HTTPS sessions, has been enhanced with support for redirecting modified (re-encrypted) HTTPS requests through other proxy servers specified in cache_peer, using a regular tunnel based on the HTTP CONNECT method (transmission over HTTPS is not supported as Squid currently cannot pass TLS within TLS). SSL-Bump enables establishing a TLS connection with the target server upon receiving the first intercepted HTTPS request and retrieving its certificate. After this, Squid uses the hostname from the certificate actually received from the server and creates a dummy certificate to imitate the requested server when interacting with the client, while continuing to use the TLS connection established with the target server (to prevent warnings in client-side browsers, it is required to add the root certificate store the used certificate for generating fake certificates).
- The mark_client_connection and mark_client_pack directives have been added to bind Netfilter (CONNMARK) marks to client TCP connections or individual packets.
Következő forró nyomon megjelent a Squid 5.2 és Squid 4.17, amelyekben sebezhetőségeket javítottak:
- CVE-2021-28116 — információszivárgás WCCPv2 specifikációval rendelkező üzenetek feldolgozása során. A sebezhetőség lehetővé teszi a támadó számára, hogy megsemmisítse a WCCP ismert routerek listáját, és a proxy szerver ügyfélforgalmát saját hosztjára irányítsa. A probléma csak WCCPv2 támogatással rendelkező konfigurációk esetén jelentkezik, valamint akkor, ha lehetséges a router IP-címének hamisítása.
- CVE-2021-41611 — hiba az ellenőrzés során, TLS-tanúsítványokamely lehetővé teszi a megbízhatatlan tanúsítványokkal való hozzáférést.
Forrás: opennet.ru
