Më shumë se dy vjet kanë kaluar nga zbulimi i 35 dobësive në proxy-n e caching-ut Squid, dhe shumica e tyre ende nuk janë korrigjuar, paralajmëron një ekspert të sigurisë, i cili së pari raportoi për këto probleme.
Në shkurt 2021, specialisti i sigurisë Joshua Rogers bëri një analizë të Squid dhe identifikoi 55 dobësi në kodin e projektit.
Deriko tani janë korrigjuar vetëm 20 prej tyre. Pjesa më e madhe e dobësive nuk ka marrë identifikime CVE, që do të thotë se nuk ka ndreqje ose rekomandime zyrtare për ta eliminuar. Rogers, në një letër drejtuar komunitetit të sigurisë Openwall, tha se pas një pritje të gjatë, ai vendosi të publikojë këto informacione.
Rogers detajoi dobĂ«sitĂ« nĂ« faqen e tij, duke theksuar diversitetin e problemeve â pĂ«rdorimi pas lirimit (Use-After-Free), rrjedhja e memories (memory leak), helmimi i caches (cache poisoning), dĂ«shtimi i pretendimeve (assertion failure) dhe mangĂ«si tĂ« tjera nĂ« komponente tĂ« ndryshme. NĂ« kĂ«tĂ« kontekst, specialisti shprehu kuptimin pĂ«r ekipin e Squid, duke theksuar se shumĂ« zhvillues tĂ« projekteve open-source punojnĂ« nĂ« bazĂ« vullnetarizmi dhe nuk gjithmonĂ« mund tĂ« reagojnĂ« shpejt ndaj kĂ«tyre problemeve.
ĂshtĂ« e rĂ«ndĂ«sishme tĂ« theksohet se Squid aktualisht pĂ«rdoret nĂ« miliona instanca nĂ« mbarĂ« botĂ«n.
Rekomandimet e Rogers nënkuptojnë se çdo përdorues duhet të vlerësojë vetë nëse Squid është i përshtatshëm për sistemin e tij. Në të kundërt, përdoruesit mund të përballen me dështime dhe rreziqe në fushën e sigurisë të informacionit.
Kjo situatë na kujton të gjithëve rëndësinë e përditësimit të rregullt dhe sigurimin e softuerit. Ndryshe, siç thekson Rogers, "nuk do të ketë asnjë dobi nga kjo."
Ky episod shqetësues ngre pyetje serioze në lidhje me sigurinë e projekteve të hapura dhe aftësinë e tyre për të përballuar një fluks të vazhdueshëm të dobësive të reja.
Shpresojmë që anëtarët e komunitetit dhe zhvilluesit të marrin masa të menjëhershme për të eliminuar këtë kërcënim në të ardhmen.
Letra e Joshua në Openwall (angl.)
Detajimi i problemeve në faqen e Joshua (angl.)
Burimi: linux.org.ru
