Mais de dois anos se passaram desde a descoberta de 35 vulnerabilidades no proxy de cache Squid, e a maior parte delas ainda não foi corrigida, alerta um especialista em segurança que foi o primeiro a relatar essas questões.
Em fevereiro de 2021, o especialista em segurança Joshua Rogers realizou uma análise do Squid e identificou 55 vulnerabilidades no código do projeto.
Até agora, apenas 20 delas foram corrigidas. A maioria das vulnerabilidades não recebeu identificadores CVE, o que significa que não há correções ou recomendações oficiais para resolvê-las. Rogers, em uma carta à comunidade de segurança Openwall, afirmou que, após longa espera, decidiu publicar essas informações.
Rogers detalhou as vulnerabilidades em seu site, enfatizando a diversidade dos problemas – uso após liberação (Use-After-Free), vazamento de memória (memory leak), envenenamento de cache (cache poisoning), falha de afirmação (assertion failure) e outras falhas em vários componentes. Ele expressou compreensão pela equipe do Squid, observando que muitos desenvolvedores de projetos de código aberto trabalham de forma voluntária e nem sempre conseguem responder rapidamente a esses problemas.
Vale mencionar que o Squid está atualmente em uso em milhões de instâncias em todo o mundo.
As recomendações de Rogers sugerem que cada usuário deve avaliar, por conta própria, se o Squid é adequado para seu sistema. Caso contrário, os usuários podem enfrentar falhas e riscos em segurança da informação.
Essa situação nos lembra da importância de atualizações regulares e da segurança do software. Caso contrário, como destaca Rogers, "não haverá benefício nisso".
Esse episódio inquietante levanta questões sérias sobre a segurança de projetos abertos e sua capacidade de lidar com o fluxo contínuo de novas vulnerabilidades.
Continua a haver esperança de que os membros da comunidade e os desenvolvedores tomem medidas urgentes para resolver essa ameaça no futuro.
Carta de Joshua na Openwall (inglês)
Detalhamento dos problemas no site de Joshua (inglês)
Fonte: linux.org.ru
