Efter tre Ärs utveckling presenteras stabil version av proxy-servern Squid 5.1, redo att anvÀndas i produktionssystem (utgÄvorna 5.0.x hade status som beta-versioner). NÀr grenen 5.x nu har fÄtt status som stabil, kommer endast sÄrbarhetsfixar och stabilitetsproblem att hanteras dÀr. Liten optimering Àr Àven tillÄten. Utveckling av nya funktioner kommer att ske i den nya experimentella grenen 6.0. AnvÀndare av den tidigare stabila grenen 4.x rekommenderas att planera en övergÄng till grenen 5.x.
Huvudsakliga nyheter i Squid 5:
- I implementeringen av ICAP-protokollet (Internet Content Adaptation Protocol), som anvÀnds för integration med externa innehÄllskontrollsystem, har stöd för en ny datakopplingsmekanism (trailer) lagts till, vilket gör det möjligt att bifoga ytterligare rubriker med metadata till svaret, som placeras efter meddelandets kropp (till exempel kan kontrollsumman och detaljer om identifierade problem överföras).
- Vid omdirigering av förfrĂ„gningar har algoritmen âHappy Eyeballsâ anvĂ€nts, som genast anvĂ€nder den mottagna IP-adressen utan att vĂ€nta pĂ„ att alla potentiellt tillgĂ€ngliga mĂ„ladresser IPv4 och IPv6 ska lösas. IstĂ€llet för att ta hĂ€nsyn till instĂ€llningen âdns_v4_firstâ för att bestĂ€mma ordningen av vilket adressfamilj som ska anvĂ€ndas, beaktas nu ordningen pĂ„ svaret i DNS: om svaret DNS AAAA inkommer först, kommer den mottagna IPv6-adressen att anvĂ€ndas. SĂ„ledes utförs instĂ€llningen av den föredragna adressfamiljen nu pĂ„ nivĂ„n för brandvĂ€ggen, DNS eller körning med alternativet ââdisable-ipv6â. Den föreslagna Ă€ndringen möjliggör snabbare etablering av TCP-anslutningar och minskar pĂ„verkan av fördröjningar vid DNS-resolving. IP-adresser För anvĂ€ndning i direktivet âexternal_aclâ har en hanterare âext_kerberos_sid_group_aclâ lagts till för autentisering med gruppkontroll i Active Directory med Kerberos. För att begĂ€ra gruppnamnet anvĂ€nds verktyget ldapsearch, som tillhandahĂ„lls av OpenLDAP-paketet.
- För att anvÀnda i direktivet "external_acl" har hanteraren "ext_kerberos_sid_group_acl" lagts till för autentisering med gruppkontroll i Active Directory med hjÀlp av Kerberos. För att frÄga efter gruppnamnet anvÀnds verktyget ldapsearch, som tillhandahÄlls av paketet OpenLDAP.
- Stödet för Berkeley DB-databasformatet har förklarats förĂ„ldrat pĂ„ grund av licensproblem. Versionen Berkeley DB 5.x har inte underhĂ„llits pĂ„ flera Ă„r och har fortfarande ofixade sĂ„rbarheter, och att övergĂ„ till nyare versioner Ă€r inte möjligt pĂ„ grund av Ă€ndringarna i licensen till AGPLv3, vars krav Ă€ven omfattar applikationer som anvĂ€nder BerkeleyDB som bibliotek â Squid levereras under GPLv2-licens, och AGPL Ă€r oförenlig med GPLv2. IstĂ€llet för Berkeley DB har projektet övergĂ„tt till att anvĂ€nda databashanteraren TrivialDB, som, till skillnad frĂ„n Berkeley DB, Ă€r optimerad för samtidig parallell Ă„tkomst till databasen. Stödet för Berkeley DB finns fortfarande kvar, men i hanterarna "ext_session_acl" och "ext_time_quota_acl" rekommenderas det nu att anvĂ€nda lagringstypen "libtdb" istĂ€llet för "libdb".
- Stöd för HTTP-huvudet CDN-Loop har lagts till, vilket definieras i RFC 8586 och gör det möjligt att upptÀcka loopar vid anvÀndning av innehÄllslevereringsnÀtverk (huvudet skyddar mot situationer dÀr en förfrÄgan i processen att omdirigas mellan CDN av olika skÀl ÄtergÄr till den ursprungliga CDN, vilket skapar en oÀndlig loop).
- Stödet för SSL-Bump-mekanismen, som tillÄter avlyssning av innehÄllet i krypterade HTTPS-sessioner, har lagts till för att dirigera om de modifierade (omkrypterade) HTTPS-förfrÄgningarna genom andra proxyservrar angivna i cache_peer, med hjÀlp av en vanlig tunnel baserad pÄ HTTP CONNECT-metoden (överföring via HTTPS stöds inte, eftersom Squid för tillfÀllet inte kan överföra TLS inom TLS). SSL-Bump gör att nÀr den första avlyssnade HTTPS-förfrÄgan kommer in kan en TLS-anslutning upprÀttas med den mÄlservern och dess certifikat kan erhÄllas. DÀrefter anvÀnder Squid vÀrdnamnet frÄn det verkliga certifikatet som erhölls frÄn servern och skapar ett falskt certifikat, genom vilket den imiterar den begÀrda servern vid interaktion med klienten, samtidigt som den fortsÀtter att anvÀnda TLS-anslutningen som upprÀttades med mÄlservern för att hÀmta data (för att bytet inte ska leda till varningsmeddelanden i klientens webblÀsare mÄste det certifikat som anvÀndes för att generera de falska certifikaten lÀggas till i lagret för rotcertifikat).
- Direktiven mark_client_connection och mark_client_pack har lagts till för att binda Netfilter-mÀrkningar (CONNMARK) till klienternas TCP-anslutningar eller enskilda paket.
Följande publicerades snabbt: Squid 5.2 och Squid 4.17, dÀr sÄrbarheter har ÄtgÀrdats:
- CVE-2021-28116 â informationslĂ€ckage vid behandling av specialformaterade WCCPv2-meddelanden. SĂ„rbarheten gör det möjligt för en angripare att manipulera listan över kĂ€nda WCCP-router och omdirigera trafik frĂ„n klienter pĂ„ proxyservrar till sin egen vĂ€rd. Problemet uppstĂ„r endast i konfigurationer med stöd för WCCPv2 aktiverat och nĂ€r det finns möjlighet till IP-adressförfalskning av routern.
- CVE-2021-41611 â ett fel vid verifiering TLS-certifikat, vilket gör det möjligt att fĂ„ Ă„tkomst med hjĂ€lp av icke betrodda certifikat.
KĂ€lla: opennet.ru
