Sono passati più di due anni dalla scoperta di 35 vulnerabilità nel proxy caching Squid, e la maggior parte di esse non è ancora stata risolta, avverte un esperto di sicurezza che è stato il primo a segnalare tali problemi.
Nel febbraio 2021, l'esperto di sicurezza Joshua Rogers ha condotto un'analisi di Squid e ha identificato 55 vulnerabilità nel codice del progetto.
Fino ad ora, solo 20 di esse sono state risolte. La maggior parte delle vulnerabilità non ha ricevuto numeri CVE, il che significa l'assenza di correzioni ufficiali o raccomandazioni per la loro risoluzione. Rogers ha riferito alla comunità di sicurezza Openwall che, dopo una lunga attesa, ha deciso di pubblicare queste informazioni.
Rogers ha dettagliato le vulnerabilità sul suo sito web, sottolineando la varietà dei problemi: uso dopo il rilascio (Use-After-Free), perdita di memoria (memory leak), avvelenamento della cache (cache poisoning), errore di asserzione (assertion failure) e altri difetti in diversi componenti. Ha comunque espresso comprensione per il team di Squid, notando che molti sviluppatori di progetti open-source lavorano su base volontaria e non possono sempre rispondere prontamente a tali problemi.
Vale la pena notare che Squid è attualmente utilizzato in milioni di installazioni in tutto il mondo.
Le raccomandazioni di Rogers implicano che ogni utente debba valutare autonomamente se Squid è adatto al proprio sistema. In caso contrario, gli utenti possono affrontare malfunzionamenti e rischi in materia di sicurezza informatica.
Questa situazione ci ricorda tutti l'importanza di aggiornare regolarmente e garantire la sicurezza del software. Altrimenti, come sottolinea Rogers, "non servirà a nulla".
Questo episodio allarmante solleva seri interrogativi sulla sicurezza dei progetti open-source e sulla loro capacità di affrontare il continuo afflusso di nuove vulnerabilità.
Si spera che i membri della comunità e gli sviluppatori prendano misure urgenti per affrontare questa minaccia in futuro.
La lettera di Joshua su Openwall (en.)
Dettaglio dei problemi sul sito di Joshua (en.)
Fonte: linux.org.ru
