ການປ່ອຍຕົວເຊີບເວີພຣັອກຊີ Squid 5 ທີ່ໝັ້ນຄົງ

ຫຼັງຈາກສາມປີຂອງການພັດທະນາ, ການປ່ອຍ Squid 5.1 ເຊີບເວີພຣັອກຊີທີ່ຫມັ້ນຄົງໄດ້ຖືກນໍາສະເຫນີ, ກຽມພ້ອມສໍາລັບການນໍາໃຊ້ໃນລະບົບການຜະລິດ (ການປ່ອຍ 5.0.x ມີສະຖານະພາບຂອງຮຸ່ນເບຕ້າ). ຫຼັງຈາກສາຂາ 5.x ໄດ້ຮັບສະຖານະທີ່ໝັ້ນຄົງແລ້ວ, ຈາກນີ້ໄປພຽງແຕ່ການແກ້ໄຂຊ່ອງໂຫວ່ ແລະບັນຫາຄວາມໝັ້ນຄົງເທົ່ານັ້ນທີ່ຈະຖືກເຮັດຢູ່ໃນນັ້ນ, ແລະການເພີ່ມປະສິດທິພາບເລັກນ້ອຍກໍ່ໄດ້ຮັບອະນຸຍາດ. ການພັດທະນາລັກສະນະໃຫມ່ຈະຖືກປະຕິບັດໃນສາຂາທົດລອງໃຫມ່ 6.0. ຜູ້ໃຊ້ຂອງສາຂາ 4.x ຄົງທີ່ທີ່ຜ່ານມາໄດ້ຖືກແນະນໍາໃຫ້ວາງແຜນທີ່ຈະຍ້າຍໄປສາຂາ 5.x.

ນະວັດຕະກໍາທີ່ສໍາຄັນໃນ Squid 5:

• ການປະຕິບັດ ICAP (Internet Content Adaptation Protocol), ນໍາໃຊ້ສໍາລັບການເຊື່ອມໂຍງກັບລະບົບການກວດສອບເນື້ອຫາພາຍນອກ, ໄດ້ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບກົນໄກການຄັດຕິດຂໍ້ມູນ (trailer), ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດແນບສ່ວນຫົວເພີ່ມເຕີມທີ່ມີ metadata ກັບການຕອບສະຫນອງ, ວາງໄວ້ຫຼັງຈາກຂໍ້ຄວາມ. ຮ່າງກາຍ (ຕົວຢ່າງ, ທ່ານສາມາດສົ່ງ checksum ແລະລາຍລະອຽດກ່ຽວກັບບັນຫາທີ່ໄດ້ກໍານົດ).
• ເມື່ອປ່ຽນເສັ້ນທາງການຮ້ອງຂໍ, algorithm "Happy Eyeballs" ຖືກນໍາໃຊ້, ເຊິ່ງທັນທີໃຊ້ທີ່ຢູ່ IP ທີ່ໄດ້ຮັບ, ໂດຍບໍ່ຕ້ອງລໍຖ້າທຸກທີ່ຢູ່ IPv4 ແລະ IPv6 ທີ່ມີທ່າແຮງທີ່ຈະແກ້ໄຂ. ແທນທີ່ຈະໃຊ້ການຕັ້ງຄ່າ "dns_v4_first" ເພື່ອກໍານົດວ່າຄອບຄົວທີ່ຢູ່ IPv4 ຫຼື IPv6 ຖືກນໍາໃຊ້, ຄໍາສັ່ງຂອງການຕອບ DNS ໄດ້ຖືກພິຈາລະນາໃນປັດຈຸບັນ: ຖ້າຄໍາຕອບ DNS AAAA ມາຮອດທໍາອິດໃນເວລາທີ່ລໍຖ້າທີ່ຢູ່ IP ເພື່ອແກ້ໄຂ, ຫຼັງຈາກນັ້ນ, ທີ່ຢູ່ IPv6 ຜົນໄດ້ຮັບຈະຖືກໃຊ້. ດັ່ງນັ້ນ, ການຕັ້ງຄ່າຄອບຄົວທີ່ຢູ່ທີ່ຕ້ອງການໃນປັດຈຸບັນແມ່ນເຮັດຢູ່ທີ່ firewall, DNS ຫຼືລະດັບການເລີ່ມຕົ້ນດ້ວຍຕົວເລືອກ "--disable-ipv6". ການປ່ຽນແປງທີ່ສະເຫນີຊ່ວຍໃຫ້ພວກເຮົາເລັ່ງເວລາການຕັ້ງຄ່າຂອງການເຊື່ອມຕໍ່ TCP ແລະຫຼຸດຜ່ອນຜົນກະທົບຂອງການປະຕິບັດການຊັກຊ້າໃນລະຫວ່າງການແກ້ໄຂ DNS.
• ສໍາລັບການນໍາໃຊ້ໃນຄໍາສັ່ງ "external_acl", ຕົວຈັດການ "ext_kerberos_sid_group_acl" ໄດ້ຖືກເພີ່ມສໍາລັບການພິສູດຢືນຢັນດ້ວຍການກວດສອບກຸ່ມຢູ່ໃນ Active Directory ໂດຍໃຊ້ Kerberos. ເພື່ອສອບຖາມຊື່ກຸ່ມ, ໃຫ້ໃຊ້ ldapsearch utility ທີ່ສະໜອງໃຫ້ໂດຍແພັກເກັດ OpenLDAP.
• ການສະຫນັບສະຫນູນຮູບແບບ Berkeley DB ໄດ້ຖືກຍົກເລີກເນື່ອງຈາກບັນຫາການອະນຸຍາດ. ສາຂາຂອງ Berkeley DB 5.x ບໍ່ໄດ້ຖືກຮັກສາໄວ້ເປັນເວລາຫຼາຍປີແລະຍັງຄົງມີຊ່ອງຫວ່າງທີ່ບໍ່ໄດ້ຮັບການປັບປຸງ, ແລະການຫັນປ່ຽນໄປສູ່ການອອກໃຫມ່ແມ່ນປ້ອງກັນໂດຍການປ່ຽນແປງໃບອະນຸຍາດເປັນ AGPLv3, ຂໍ້ກໍານົດຂອງການນໍາໃຊ້ຍັງໃຊ້ກັບຄໍາຮ້ອງສະຫມັກທີ່ໃຊ້ BerkeleyDB ໃນຮູບແບບຂອງ ຫ້ອງສະໝຸດ - Squid ແມ່ນສະໜອງໃຫ້ພາຍໃຕ້ໃບອະນຸຍາດ GPLv2, ແລະ AGPL ບໍ່ເຂົ້າກັນໄດ້ກັບ GPLv2. ແທນທີ່ຈະເປັນ Berkeley DB, ໂຄງການໄດ້ຖືກໂອນໄປຫາການນໍາໃຊ້ TrivialDB DBMS, ເຊິ່ງ, ບໍ່ເຫມືອນກັບ Berkeley DB, ແມ່ນການເພີ່ມປະສິດທິພາບສໍາລັບການເຂົ້າເຖິງຂະຫນານພ້ອມກັນກັບຖານຂໍ້ມູນ. ການສະຫນັບສະຫນູນ Berkeley DB ໄດ້ຖືກຮັກສາໄວ້ສໍາລັບໃນປັດຈຸບັນ, ແຕ່ຕົວຈັດການ "ext_session_acl" ແລະ "ext_time_quota_acl" ແນະນໍາໃຫ້ໃຊ້ປະເພດການເກັບຮັກສາ "libtdb" ແທນ "libdb".
• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບ header CDN-Loop HTTP, ກໍານົດໃນ RFC 8586, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດກວດພົບ loops ໃນເວລາທີ່ນໍາໃຊ້ເຄືອຂ່າຍການຈັດສົ່ງເນື້ອຫາ (header ສະຫນອງການປົກປ້ອງຕໍ່ສະຖານະການໃນເວລາທີ່ການຮ້ອງຂໍໃນຂະບວນການປ່ຽນເສັ້ນທາງລະຫວ່າງ CDNs ສໍາລັບເຫດຜົນບາງຢ່າງກັບຄືນສູ່ການ. CDN ຕົ້ນ​ສະ​ບັບ​, ກອບ​ເປັນ​ຈໍາ​ນວນ​ທີ່​ບໍ່​ສິ້ນ​ສຸດ​)​.
• ກົນໄກ SSL-Bump, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານສາມາດຂັດຂວາງເນື້ອໃນຂອງກອງປະຊຸມ HTTPS ທີ່ເຂົ້າລະຫັດ, ໄດ້ເພີ່ມການສະຫນັບສະຫນູນການປ່ຽນເສັ້ນທາງ spoofed (ເຂົ້າລະຫັດລັບຄືນໃຫມ່) HTTPS ຜ່ານເຄື່ອງແມ່ຂ່າຍຕົວແທນອື່ນໆທີ່ລະບຸໄວ້ໃນ cache_peer, ໂດຍໃຊ້ອຸໂມງປົກກະຕິໂດຍອີງໃສ່ວິທີການ HTTP CONNECT ( ການສົ່ງຜ່ານ HTTPS ແມ່ນບໍ່ຮອງຮັບ, ເນື່ອງຈາກ Squid ຍັງບໍ່ສາມາດຂົນສົ່ງ TLS ພາຍໃນ TLS ໄດ້). SSL-Bump ອະນຸຍາດໃຫ້ທ່ານສ້າງການເຊື່ອມຕໍ່ TLS ກັບເຄື່ອງແມ່ຂ່າຍເປົ້າຫມາຍເມື່ອໄດ້ຮັບຄໍາຮ້ອງຂໍ HTTPS ທໍາອິດທີ່ຖືກສະກັດແລະໄດ້ຮັບໃບຢັ້ງຢືນຂອງມັນ. ຫຼັງຈາກນີ້, Squid ໃຊ້ຊື່ເຈົ້າພາບຈາກໃບຢັ້ງຢືນທີ່ແທ້ຈິງທີ່ໄດ້ຮັບຈາກເຄື່ອງແມ່ຂ່າຍແລະສ້າງໃບຢັ້ງຢືນ dummy, ເຊິ່ງມັນ imitates ເຄື່ອງແມ່ຂ່າຍທີ່ຮ້ອງຂໍໃນເວລາທີ່ພົວພັນກັບລູກຄ້າ, ໃນຂະນະທີ່ສືບຕໍ່ໃຊ້ການເຊື່ອມຕໍ່ TLS ທີ່ຕັ້ງກັບເຄື່ອງແມ່ຂ່າຍເປົ້າຫມາຍທີ່ຈະໄດ້ຮັບຂໍ້ມູນ ( ດັ່ງນັ້ນການທົດແທນບໍ່ໄດ້ນໍາໄປສູ່ການເຕືອນໄພຜົນຜະລິດໃນຕົວທ່ອງເວັບໃນດ້ານລູກຄ້າ, ທ່ານຈໍາເປັນຕ້ອງເພີ່ມໃບຢັ້ງຢືນຂອງທ່ານທີ່ໃຊ້ໃນການສ້າງໃບຢັ້ງຢືນການປອມແປງໃນຮ້ານໃບຢັ້ງຢືນຮາກ).
• ເພີ່ມຄຳສັ່ງ mark_client_connection ແລະ mark_client_pack ເພື່ອຜູກມັດເຄື່ອງຫມາຍ Netfilter (CONNMARK) ກັບການເຊື່ອມຕໍ່ລູກຄ້າ TCP ຫຼືແພັກເກັດສ່ວນບຸກຄົນ.

ຮ້ອນສຸດ heels ຂອງເຂົາເຈົ້າ, ການປ່ອຍຂອງ Squid 5.2 ແລະ Squid 4.17 ໄດ້ຖືກຈັດພີມມາ, ໃນທີ່ຊ່ອງໂຫວ່ໄດ້ຖືກແກ້ໄຂ:

• CVE-2021-28116 - ຂໍ້ມູນຮົ່ວໄຫຼໃນເວລາປະມວນຜົນຂໍ້ຄວາມ WCCPv2 ທີ່ສ້າງຂຶ້ນໂດຍສະເພາະ. ຊ່ອງໂຫວ່ເຮັດໃຫ້ຜູ້ໂຈມຕີສາມາດທໍາລາຍລາຍຊື່ຂອງ routers WCCP ທີ່ຮູ້ຈັກ ແລະປ່ຽນເສັ້ນທາງຈາກລູກຄ້າເຊີບເວີພຣັອກຊີໄປຫາເຈົ້າພາບຂອງພວກເຂົາ. ບັນຫາພຽງແຕ່ປາກົດຢູ່ໃນການຕັ້ງຄ່າທີ່ມີການສະຫນັບສະຫນູນ WCCPv2 ແລະໃນເວລາທີ່ມັນເປັນໄປໄດ້ທີ່ຈະປອມແປງທີ່ຢູ່ IP ຂອງ router.
• CVE-2021-41611 - ບັນຫາໃນການກວດສອບໃບຢັ້ງຢືນ TLS ອະນຸຍາດໃຫ້ເຂົ້າເຖິງໂດຍໃຊ້ໃບຢັ້ງຢືນທີ່ບໍ່ເຊື່ອຖືໄດ້.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru