Po trejų metų kūrimo išleista nauja stabili „Squid“ tarpinio serverio versija – 5.1 – yra paruošta naudoti gamybinėse sistemose (5.0.x versijos buvo beta versijos).
Kai 5.x šaka pasieks stabilią būseną, nuo šiol bus diegiami tik pažeidžiamumų ir stabilumo problemų taisymai bei nedideli optimizavimai. Naujų funkcijų kūrimas bus vykdomas naujoje eksperimentinėje 6.0 šakoje. Ankstesnės stabilios 4.x šakos naudotojams rekomenduojama planuoti migraciją į 5.x šaką.
Kalmarai 5.1 Pagrindinės naujos funkcijos
Šioje naujoje versijoje suderinamumas su Berkeley DB formatu nebepalaikomas dėl licencijavimo problemų . Berkeley DB 5.x šaka nebuvo prižiūrima keletą metų ir vis dar turi neištaisytų pažeidžiamumų, o atnaujinimas į naujesnes versijas neleidžia keisti AGPLv3 licencijos, kurios reikalavimai taip pat taikomi programoms, kurios naudoja Berkeley DB kaip biblioteką. „Squid“ išleista pagal GPLv2 licenciją, o AGPL nesuderinama su GPLv2.
Vietoj Berkeley DB projektas perėjo prie „TrivialDB DBMS“, kuri, skirtingai nei Berkeley DB, yra optimizuota vienalaikei lygiagrečiai prieigai prie duomenų bazės. Berkeley DB palaikymas kol kas išlaikomas, tačiau dabar rekomenduojama „ext_session_acl“ ir „ext_time_quota_acl“ tvarkyklėse naudoti saugyklos tipą „libtdb“ vietoj „libdb“.
Be to, buvo pridėta parama HTTP CDN-Loop antraštei, apibrėžtai RFC 8586, kuri leidžia aptikti kilpas naudojant turinio pristatymo tinklus (antraštė apsaugo nuo situacijų, kai užklausa dėl kažkokių priežasčių nukreipiant tarp CDN grįžta į pradinį CDN, sudarant begalinę kilpą).
Be to, SSL-Bump mechanizmas, leidžiantis perimti užšifruotų HTTPS sesijų turinį, papildė palaikymą suklastotų HTTPS užklausų nukreipimui per kitus tarpinius serverius, nurodytus „cache_peer“ parametre, naudojant įprastą tunelį, pagrįstą HTTP CONNECT metodu (perdavimas per HTTPS nepalaikomas, nes „Squid“ dar negali perduoti TLS per TLS).
Gavęs pirmąją perimtą HTTPS užklausą, „SSL-Bump“ užmezga TLS ryšį su tiksliniu serveriu ir gauna jo sertifikatą. Tada „Squid“ naudoja iš serverio gauto tikrojo sertifikato pagrindinio kompiuterio pavadinimą , kad sukurtų netikrą sertifikatą, kurį naudoja apsimetinėdamas prašomu serveriu bendraudamas su klientu , tuo pačiu toliau naudodamas užmegztą TLS ryšį su tiksliniu serveriu duomenims gauti.
Taip pat verta paminėti, kad įdiegus ICAP ( interneto turinio adaptacijos protokolą), kuris naudojamas integracijai su išorinėmis turinio tikrinimo sistemomis, buvo pridėta duomenų prijungimo mechanizmo parama , leidžianti prie atsakymo pridėti papildomas metaduomenų antraštes, pateikiamas po pranešimo teksto.
Užuot atsižvelgęs į „dns_v4_first»Norėdami nustatyti IPv4 arba IPv6 adresų šeimos naudojimo tvarką, dabar atsižvelgiama į atsakymo tvarką DNS- Jei AAAA atsakymas iš DNS pasirodo pirmiausia laukiant, kol IP adresas bus išspręstas, bus naudojamas gautas IPv6 adresas. Todėl pageidaujamas adresų šeimos nustatymas dabar atliekamas užkardoje, DNS arba paleidžiant naudojant parinktį „–disable-ipv6“.
Siūlomas pakeitimas pagreitins TCP ryšių sukonfigūravimo laiką ir sumažins DNS sprendimo uždelsimo poveikį našumui.
Peradresuojant užklausas, naudojamas „Happy Eyeballs“ algoritmas, kuris nedelsdamas naudoja gautą IP adresą, nelaukdamas, kol bus išspręsti visi potencialiai prieinami paskirties IPv4 ir IPv6 adresai.
Norint naudoti direktyvą „external_acl“, „ext_kerberos_sid_group_acl“ tvarkyklė buvo pridėta autentifikavimui naudojant patvirtinimo grupes „Active Directory“ naudojant „Kerberos“. Grupės pavadinimui atlikti naudojama „OpenLDAP“ paketo teikiama „ldapsearch“ programa.
Pridėtos „mark_client_connection“ ir „mark_client_pack“ direktyvos, kad „Netfilter“ (CONNMARK) žymos būtų susietos su atskirais paketais ar kliento TCP ryšiais
Galiausiai paminėta, kad atlikus paskelbtų „Squid 5.2“ ir „Squid 4.17“ versijų veiksmus, buvo ištaisytos šios spragos:
- CVE-2021-28116-Informacijos nutekėjimas apdorojant specialiai sukurtus WCCPv2 pranešimus. Pažeidžiamumas leidžia užpuolikui sugadinti žinomų WCCP maršrutizatorių sąrašą ir peradresuoti srautą iš tarpinio kliento į pagrindinį kompiuterį. Problema pasireiškia tik konfigūracijose, kuriose įjungtas WCCPv2 palaikymas, ir kai įmanoma suklastoti maršrutizatoriaus IP adresą.
- CVE-2021-41611: klaida patvirtinant TLS sertifikatus, leidžiančius pasiekti naudojant nepatikimus sertifikatus.
Galiausiai, jei norite sužinoti daugiau, galite peržiūrėti išsamią informaciją šioje nuorodoje.