Au trecut mai bine de doi ani de la descoperirea a 35 de vulnerabilități în proxy-ul de caching Squid, iar majoritatea dintre ele nu au fost încă remediate, avertizează un expert în securitate care a raportat prima dată aceste probleme.
În februarie 2021, specialistul în securitate Joshua Rogers a efectuat o analiză a Squid și a identificat 55 de vulnerabilități în codul proiectului.
Până în prezent, au fost remediate doar 20 dintre acestea. Majoritatea vulnerabilităților nu au primit denumiri CVE, ceea ce înseamnă că nu există remedieri oficiale sau recomandări pentru a le aborda. Rogers a declarat într-o scrisoare adresată comunității de securitate Openwall că, după o lungă așteptare, a decis să publice aceste informații.
Rogers a detaliat vulnerabilitățile pe site-ul său, subliniind diversitatea problemelor – utilizare după eliberare (Use-After-Free), scurgeri de memorie (memory leak), otrăvirea cache-ului (cache poisoning), eroarea de afirmație (assertion failure) și alte deficiențe în diverse componente. În acest context, specialistul a arătat înțelegere față de echipa Squid, menționând că mulți dezvoltatori ai proiectelor open-source lucrează pe bază de voluntariat și nu pot reacționa întotdeauna rapid la astfel de probleme.
Este de menționat că Squid este în prezent utilizat în milioane de instanțe din întreaga lume.
Recomandările lui Rogers implică faptul că fiecare utilizator ar trebui să evalueze dacă Squid este potrivit pentru sistemul său. În caz contrar, utilizatorii se pot confrunta cu eșecuri și riscuri în ceea ce privește securitatea informațiilor.
Această situație ne amintește tuturor importanța actualizării regulate și a asigurării securității software-ului. În caz contrar, cum subliniază Rogers, «nu va fi niciun folos».
Acest episod îngrijorător ridică întrebări serioase cu privire la securitatea proiectelor open-source și la capacitatea lor de a face față fluxului neîncetat de noi vulnerabilități.
Rămâne de sperat că membrii comunității și dezvoltatorii vor lua măsuri imediate pentru a remedia această amenințare în viitor.
Scrisoarea lui Joshua pe Openwall (eng.)
Detalierea problemelor pe site-ul lui Joshua (eng.)
Sursa: linux.org.ru
