Meer dan twee jaar zijn verstreken sinds de ontdekking van 35 kwetsbaarheden in de cacheproxy Squid, en de meeste zijn tot nu toe nog niet verholpen, waarschuwt een beveiligingsexpert die als eerste over deze problemen rapporteerde.
In februari 2021 voerde beveiligingsspecialist Joshua Rogers een analyse van Squid uit en ontdekte 55 kwetsbaarheden in de code van het project.
Tot nu toe zijn er slechts 20 verholpen. De meeste kwetsbaarheden hebben geen CVE-aanduidingen ontvangen, wat betekent dat er geen officiƫle oplossingen of aanbevelingen voor het oplossen ervan zijn. Rogers vermeldde in een brief aan de Openwall-beveiligingsgemeenschap dat hij na lang wachten besloot deze informatie te publiceren.
Rogers gedetailleerde de kwetsbaarheden op zijn website en benadrukte de diversiteit van de problemen ā use-after-free, geheugenlekken, cachevervuiling, assertiefouten en andere tekortkomingen in verschillende componenten. Tegelijkertijd toonde hij begrip voor het Squid-team en merkte hij op dat veel ontwikkelaars van open-sourceprojecten op vrijwilligersbasis werken en niet altijd snel op dergelijke problemen kunnen reageren.
Het is vermeldenswaard dat Squid momenteel wereldwijd miljoenen exemplaren in gebruik heeft.
Rogers' aanbevelingen impliceren dat elke gebruiker zelf moet beoordelen of Squid geschikt is voor hun systeem. Anders kunnen gebruikers geconfronteerd worden met storingen en informatiebeveiligingsrisico's.
Deze situatie herinnert ons allemaal aan het belang van regelmatige updates en beveiliging van software. Anders, zoals Rogers benadrukt, "heeft het geen zin".
Dit verontrustende voorval roept serieuze vragen op over de beveiliging van open source-projecten en hun vermogen om de voortdurende stroom van nieuwe kwetsbaarheden aan te pakken.
We kunnen alleen maar hopen dat de leden van de gemeenschap en ontwikkelaars dringend actie ondernemen om deze dreiging in de toekomst aan te pakken.
Joshua's brief aan Openwall (Eng.)
Details van de problemen op Joshua's website (Eng.)
Bron: linux.org.ru
