Efter tre års udvikling er den nye stabile version af Squid-proxyserveren, 5.1, blevet udgivet og er klar til brug i produktionssystemer (version 5.0.x var beta).
Efter at 5.x-grenen når en stabil tilstand, vil der fra nu af kun blive implementeret rettelser til sårbarheder og stabilitetsproblemer , sammen med mindre optimeringer. Udvikling af nye funktioner vil finde sted i den nye eksperimentelle 6.0-gren. Brugere af den tidligere stabile 4.x-gren opfordres til at planlægge en migrering til 5.x-grenen.
Squid 5.1 Vigtigste nye funktioner
I denne nye version er kompatibiliteten med Berkeley DB-formatet udfaset på grund af licensproblemer . Berkeley DB 5.x-grenen er ikke blevet vedligeholdt i flere år og har stadig uopdaterede sårbarheder, og opgradering til nyere versioner tillader ikke ændring af AGPLv3-licensen, hvis krav også gælder for applikationer, der bruger Berkeley DB som bibliotek. Squid er udgivet under GPLv2-licensen, og AGPL er inkompatibel med GPLv2.
I stedet for Berkeley DB migrerede projektet til at bruge TrivialDB DBMS, som i modsætning til Berkeley DB er optimeret til samtidig parallel adgang til databasen. Berkeley DB-understøttelse opretholdes for nu, men det anbefales nu at bruge lagringstypen "libtdb" i stedet for "libdb" i handlerne "ext_session_acl" og "ext_time_quota_acl".
Derudover blev der tilføjet support til HTTP CDN-Loop-overskriften, defineret i RFC 8586, som gør det muligt at registrere sløjfer ved brug af indholdsleveringsnetværk (overskriften giver beskyttelse mod situationer, hvor en anmodning, under omdirigering mellem CDN'er af en eller anden grund, vender tilbage til det originale CDN, der danner en uendelig sløjfe).
Derudover har SSL-Bump-mekanismen, som tillader at opsnappe indholdet af krypterede HTTPS-sessioner, tilføjet understøttelse af omdirigering af forfalskede HTTPS-anmodninger via andre proxyservere angivet i cache_peer ved hjælp af en almindelig tunnel baseret på HTTP CONNECT-metoden (transmission over HTTPS understøttes ikke, da Squid endnu ikke kan transmittere TLS inden for TLS).
Når SSL-Bump modtager den første opsnappede HTTPS-anmodning, etablerer den en TLS-forbindelse med målserveren og henter sit certifikat. Squid bruger derefter værtsnavnet på det rigtige certifikat, der er modtaget fra serveren, til at oprette et falsk certifikat, som den bruger til at udgive sig for at være den anmodede server, når den interagerer med klienten , mens den fortsætter med at bruge den etablerede TLS-forbindelse med målserveren til at modtage data.
Det er også værd at bemærke, at implementeringen af ICAP (Internet Content Adaptation Protocol), som bruges til integration med eksterne indholdsverifikationssystemer, har tilføjet understøttelse af datavedhæftningsmekanismen , der tillader, at yderligere metadataoverskrifter vedhæftes svaret, placeret efter meddelelsesteksten.
I stedet for at tage hensyn til "dns_v4_first»For at bestemme rækkefølgen af brug af IPv4- eller IPv6 -adressefamilien, nu tages der hensyn til rækkefølgen af svaret i DNS- Hvis AAAA -svaret fra DNS først vises, mens du venter på, at en IP -adresse skal løses, vil den resulterende IPv6 -adresse blive brugt. Derfor foretages den foretrukne adressefamilieindstilling nu i firewall, DNS eller ved opstart med indstillingen "–disable-ipv6".
Den foreslåede ændring vil fremskynde tiden til konfiguration af TCP -forbindelser og reducere ydelseseffekten af forsinkelser i DNS -opløsning.
Ved omdirigering af anmodninger anvendes algoritmen "Happy Eyeballs", som straks bruger den modtagne IP-adresse uden at vente på, at alle potentielt tilgængelige destinations-IPv4- og IPv6-adresser er blevet opløst.
Til brug i "external_acl" -direktivet er driveren "ext_kerberos_sid_group_acl" tilføjet til godkendelse med verifikationsgrupper i Active Directory ved hjælp af Kerberos. Værktøjet ldapsearch, der leveres af OpenLDAP -pakken, bruges til at forespørge om gruppens navn.
Tilføjede mark_client_connection og mark_client_pack direktiver for at binde Netfilter (CONNMARK) tags til individuelle pakker eller klient TCP -forbindelser
Endelig nævnes det, at følgende sårbarheder blev rettet i henhold til trinene i de publicerede versioner af Squid 5.2 og Squid 4.17 :
- CVE-2021-28116-Informationslækage ved behandling af specialfremstillede WCCPv2-meddelelser. Sårbarheden gør det muligt for en hacker at ødelægge listen over kendte WCCP -routere og omdirigere trafik fra proxy -klienten til sin vært. Problemet manifesterer sig kun i konfigurationer med WCCPv2 -understøttelse aktiveret, og når det er muligt at forfalde routerens IP -adresse.
- CVE-2021-41611: fejl ved validering af TLS-certifikater, der tillader adgang ved hjælp af ikke-betroede certifikater.
Endelig, hvis du vil vide mere om det, kan du tjekke detaljerne på følgende link.