Pärast kolmeaastast arendust on välja antud Squid puhverserveri uus stabiilne versioon 5.1, mis on tootmissüsteemides kasutamiseks valmis (versioonid 5.0.x olid beetaversioon).
Pärast seda, kui 5.x haru jõuab stabiilsesse olekusse, rakendatakse edaspidi ainult haavatavuste ja stabiilsusprobleemide parandusi koos väiksemate optimeerimistega. Uute funktsioonide arendamine toimub uues eksperimentaalses 6.0 harus. Eelmise stabiilse 4.x haru kasutajatel soovitatakse planeerida migreerumist 5.x harule.
Kalmaar 5.1 Peamised uued funktsioonid
Selles uues versioonis on litsentsimisprobleemide tõttu Berkeley DB vorminguga ühilduvus aegunud . Berkeley DB 5.x haru pole mitu aastat hooldatud ja sellel on endiselt parandamata haavatavusi ning uuematele versioonidele üleminekul ei ole võimalik muuta AGPLv3 litsentsi, mille nõuded kehtivad ka rakendustele, mis kasutavad Berkeley DB-d teekina. Squid avaldatakse GPLv2 litsentsi all ja AGPL ei ole GPLv2-ga ühilduv.
Berkeley andmebaasi asemel migreeriti projekt TrivialDB andmebaasihaldussüsteemi (DBMS) kasutamisele, mis erinevalt Berkeley andmebaasist on optimeeritud andmebaasile samaaegseks paralleelseks juurdepääsuks. Berkeley andmebaasi tugi on praegu säilinud, kuid nüüd on soovitatav kasutada käitlejates "ext_session_acl" ja "ext_time_quota_acl" salvestustüüpi "libdb" asemel salvestustüüpi "libtdb".
Lisaks lisati tugi HTTP CDN-Loop päisele, mis on määratletud standardis RFC 8586, mis võimaldab tuvastada ahelaid sisu edastamise võrkude kasutamisel (päis pakub kaitset olukordade eest, kus päring CDN-ide vahel mingil põhjusel ümber suunamise ajal naaseb algsele CDN -ile, moodustades lõpmatu ahela).
Lisaks on SSL-Bump mehhanismile, mis võimaldab krüpteeritud HTTPS-seansside sisu pealtkuulamist, lisatud tugi võltsitud HTTPS-päringute suunamiseks läbi teiste cache_peer-is määratud puhverserverite, kasutades tavalist tunnelit, mis põhineb HTTP CONNECT meetodil (edastus HTTPS-i kaudu ei ole toetatud, kuna Squid ei saa veel TLS-i TLS-i sees edastada).
Pärast esimese pealtkuulatud HTTPS-päringu saamist loob SSL-Bump sihtserveriga TLS-ühenduse ja hangib selle sertifikaadi. Seejärel kasutab Squid serverilt saadud tegeliku sertifikaadi hostinime võltssertifikaadi loomiseks, mida ta kasutab kliendiga suheldes taotletud serveri jäljendamiseks , jätkates samal ajal loodud TLS-ühenduse kasutamist sihtserveriga andmete vastuvõtmiseks.
Samuti väärib märkimist, et ICAP-i (Internet Content Adaptation Protocol) rakendamine , mida kasutatakse väliste sisukontrollisüsteemidega integreerimiseks, on lisanud toe andmete manustamise mehhanismile , mis võimaldab vastusele lisada täiendavaid metaandmete päiseid, mis paigutatakse pärast sõnumi sisu.
Selle asemel, et võtta arvesse "dns_v4_first»IPv4 või IPv6 aadressipere kasutamise järjekorra määramiseks nüüd võetakse arvesse DNS -i vastuse järjekorda- Kui IP -aadressi lahendamist oodates ilmub esmalt DNS -i AAAA vastus, kasutatakse saadud IPv6 -aadressi. Seetõttu tehakse eelistatud aadressipere seade nüüd tulemüüris, DNS-is või käivitamisel valikuga „–disable-ipv6”.
Kavandatud muudatus kiirendab TCP -ühenduste konfigureerimise aega ja vähendab DNS -i lahendamise viivituste mõju jõudlusele.
Päringute ümbersuunamisel kasutatakse algoritmi "Happy Eyeballs", mis kasutab koheselt vastuvõetud IP-aadressi, ootamata kõigi potentsiaalselt saadaolevate sihtkoha IPv4 ja IPv6 aadresside lahendamist.
Direktiivis "external_acl" kasutamiseks on lisatud draiver "ext_kerberos_sid_group_acl" autentimiseks koos Active Directory kataloogi Kerberose abil kinnitusrühmadega. Grupi nime päringuks kasutatakse OpenLDAP paketi pakutavat utiliiti ldapsearch.
Lisati direktiivid mark_client_connection ja mark_client_pack, et siduda Netfilter (CONNMARK) sildid üksikute pakettide või kliendi TCP -ühendustega
Lõpuks mainitakse, et Squid 5.2 ja Squid 4.17 avaldatud versioonide samme järgides parandati järgmised haavatavused:
- CVE-2021-28116-Teabe leke spetsiaalselt loodud WCCPv2 sõnumite töötlemisel. Haavatavus võimaldab ründajal rikkuda teadaolevate WCCP ruuterite loendi ja suunata liikluse puhverserverilt oma hostile. Probleem ilmneb ainult konfiguratsioonides, kus on lubatud WCCPv2 tugi ja kui on võimalik ruuteri IP -aadressi võltsida.
- CVE-2021-41611: viga kinnitada TLS-sertifikaate, mis võimaldavad juurdepääsu ebausaldusväärsete sertifikaatide abil.
Lõpuks, kui soovite selle kohta rohkem teada saada, saate üksikasju vaadata järgmisel lingil.