Pēc trīs gadu izstrādes ir prezentēta stabilā Squid 5.1 proxy servera versija, kas gatava lietošanai darba sistēmās (5.0.x versijām bija beta status). Pēc 5.x filiāles pārejas uz stabilo statusu tajā tiks veiktas tikai drošības un stabilitātes uzlabošanas, kā arī atļauts veikt nelielas optimizācijas. Jaunu iespēju izstrāde turpināsies jaunajā eksperimentālajā filiālē 6.0. Iepriekšējās stabilās 4.x filiāles lietotājiem ieteicams plānot pāreju uz 5.x filiāli.
Galvenās jaunākās īpašības Squid 5:
- ICAP (Internet Content Adaptation Protocol) protokola realizācijā, kas tiek izmantots integrēšanai ar ārējām satura pārbaudes sistēmām, ir pievienota atbalsts datu pievienošanas mehānismam (trailer), kas ļauj pievienot papildu galvenes ar metadatiem atbildē, kas atrodas pēc ziņojuma satura (piemēram, var pārsūtīt kontrolsummu un informāciju par atklātajām problēmām).
- Pārsūtīšanas pieprasījumu gadījumā tiek izmantots algoritms "Happy Eyeballs", kas uzreiz izmanto saņemto IP adresi, negaidot, kamēr tiek atrisināti visi potenciāli pieejamie mērķa IPv4 un IPv6 adreses. Tagad, nosakot adreses ģimenes izmantošanas secību, netiek ņemta vērā "dns_v4_first" iestatījums, bet DNS atbildes secība: ja pirmais ierodas DNS AAAA atbilde, tiks izmantota saņemtā IPv6 adrese. IP adreses Tādējādi iestatījuma priekšroka tagad tiek veikta ugunsmūra līmenī, DNS vai palaižot ar opciju "—disable-ipv6". Ieteiktais labojums paātrina TCP savienojumu izveidi un samazina veiktspēju ietekmējošās DNS risināšanas aizkaves.
- Lai izmantotu direktīvā "external_acl", ir pievienots apstrādātājs "ext_kerberos_sid_group_acl", lai autentificētu ar grupu pārbaudi Active Directory caur Kerberos. Grupas nosaukuma pieprasījumam tiek izmantota ldapsearch rīks, ko nodrošina OpenLDAP pakotne.
- Berkeley DB datu bāzes formāta atbalsts ir pasludināts par novecojušu licences problēmu dēļ. Berkeley DB 5.x zars jau vairākus gadus netiek atbalstīts un paliek ar neatrisinātām ievainojamībām, bet pāreja uz jaunākajām versijām ir ierobežota ar licences maiņu uz AGPLv3, kuras prasības attiecas arī uz lietojumprogrammām, kas izmanto BerkeleyDB bibliotēkas veidā – Squid tiek piegādāts ar GPLv2 licenci, bet AGPL nav saderīga ar GPLv2. Berkeley DB atbalsts pagaidām tiek saglabāts, taču apstrādātājos „ext_session_acl” un „ext_time_quota_acl” tagad ieteicams izmantot „libtdb” uzglabāšanas veidu, nevis „libdb”.
- Ir pievienots atbalsts HTTP galvenes CDN-Loop, kas definēta RFC 8586, un kas ļauj identificēt ciklus, izmantojot satura piegādes tīklus (galvene sniedz aizsardzību pret situācijām, kad pieprasījums pāradresēšanas procesā starp CDN, kādu iemeslu dēļ atgriežas atpakaļ uz sākotnējo CDN, veidojot bezgalīgu ciklu).
- SSL-Bump mehānismā, kas ļauj organizēt šifrēto HTTPS sesiju saturu pārtveršanu, ir pievienots atbalsts mainīto (pāršifrēto) HTTPS pieprasījumu pāradresēšanai caur citiem starpniekserveriem, kas norādīti cache_peer, izmantojot parasto tuneli, balstoties uz HTTP CONNECT metodi (pārsūtīšana caur HTTPS netiek atbalstīta, jo Squid pagaidām nevar pārsūtīt TLS iekšā TLS). SSL-Bump ļauj, kad tiek saņemts pirmais pārtvertais HTTPS pieprasījums, izveidot TLS savienojumu ar mērķserverti un saņemt tā sertifikātu. Pēc tam Squid izmanto saņemto sertifikātu no servera un izveido viltus sertifikātu, ar kuru tā imitē pieprasīto serveri, turpinot izmantot TLS savienojumu, kas izveidots ar mērķserverti (lai viltus sertifikātu ģenerēšanā izmantotais sertifikāts nepārsūtītu brīdinājumus klienta pārlūkā, nepieciešams pievienot to saknes sertifikātu krātuvē).
- Ir pievienotas mark_client_connection un mark_client_pack direktīvas, lai sasaistītu Netfilter (CONNMARK) atzīmes ar klientu TCP savienojumiem vai atsevišķiem pakotnēm.
Tūlīt pēc tam tika publicētas Squid 5.2 un Squid 4.17 versijas, kurās ir novērstas ievainojamības:
- CVE-2021-28116 — informācijas noplūde, apstrādājot īpaši formatētus WCCPv2 ziņojumus. Ievainojamība ļauj uzbrucējam sabojāt zināmo WCCP maršrutētāju sarakstu un novirzīt klientu proksī-servera trafiku uz savu hostu. Problēma izpaužas tikai konfigurācijās ar aktivizētu WCCPv2 atbalstu un iespēju veikt maršrutētāja IP adreses viltošanu.
- CVE-2021-41611 — kļūda pārbaudē, TLS sertifikātiem, kas ļauj piekļūt, izmantojot neuzticamus sertifikātus.
Avots: opennet.lv
