Po treh letih razvoja je bila izdana nova stabilna različica proxy strežnika Squid, 5.1, ki je pripravljena za uporabo v produkcijskih sistemih (različice 5.0.x so bile beta).
Ko bo veja 5.x dosegla stabilno stanje, bodo od zdaj naprej uvedeni le popravki ranljivosti in težav s stabilnostjo , skupaj z manjšimi optimizacijami. Razvoj novih funkcij bo potekal v novi eksperimentalni veji 6.0. Uporabnikom prejšnje stabilne veje 4.x priporočamo, da načrtujejo selitev na vejo 5.x.
Glavne nove funkcije Squid 5.1
V tej novi različici je bila združljivost s formatom Berkeley DB zaradi težav z licenciranjem zastarela . Veja Berkeley DB 5.x ni bila vzdrževana že več let in ima še vedno nepopravljene ranljivosti, nadgradnja na novejše različice pa ne omogoča spremembe licence AGPLv3, katere zahteve veljajo tudi za aplikacije, ki uporabljajo Berkeley DB kot knjižnico. Squid je izdan pod licenco GPLv2, AGPL pa ni združljiv z GPLv2.
Namesto Berkeley DB je projekt prešel na uporabo DBMS TrivialDB, ki je za razliko od Berkeley DB optimiziran za sočasen vzporedni dostop do baze podatkov. Podpora za Berkeley DB je zaenkrat ohranjena, vendar je zdaj priporočljivo, da se v rutinah "ext_session_acl" in "ext_time_quota_acl" namesto "libdb" uporablja tip shranjevanja "libtdb".
Poleg tega je bila dodana podpora za glavo HTTP CDN-Loop, opredeljeno v RFC 8586, ki omogoča odkrivanje zank pri uporabi omrežij za dostavo vsebine (glava zagotavlja zaščito pred situacijami, v katerih se zahteva med preusmeritvijo med CDN iz nekega razloga vrne na izvirni CDN, ki tvori neskončno zanko).
Poleg tega je mehanizem SSL-Bump, ki omogoča prestrezanje vsebine šifriranih sej HTTPS, dodal podporo za preusmeritev ponarejenih zahtev HTTPS prek drugih proxy strežnikov, določenih v cache_peer, z uporabo običajnega tunela, ki temelji na metodi HTTP CONNECT (prenos prek HTTPS ni podprt, saj Squid še ne more prenašati TLS znotraj TLS).
SSL-Bump ob prejemu prve prestrežene zahteve HTTPS vzpostavi TLS povezavo s ciljnim strežnikom in pridobi njegovo potrdilo. Squid nato uporabi ime gostitelja pravega potrdila, prejetega od strežnika, za ustvarjanje lažnega potrdila, ki ga uporablja za poosebljanje zahtevanega strežnika pri interakciji z odjemalcem , hkrati pa še naprej uporablja vzpostavljeno TLS povezavo s ciljnim strežnikom za prejemanje podatkov.
Omeniti velja tudi, da je implementacija protokola ICAP (Internet Content Adaptation Protocol), ki se uporablja za integracijo z zunanjimi sistemi za preverjanje vsebine, dodala podporo za mehanizem pripenjanja podatkov , ki omogoča pripenjanje dodatnih glav metapodatkov k odgovoru, ki se postavijo za telo sporočila.
Namesto da bi upoštevali "dns_v4_first»Za določitev vrstnega reda uporabe družine naslovov IPv4 ali IPv6, zdaj se upošteva vrstni red odziva v DNS- Če se med čakanjem na razrešitev naslova IP najprej prikaže odgovor AAAA iz DNS, bo uporabljen nastali naslov IPv6. Zato je prednostna nastavitev družine naslovov zdaj izvedena v požarnem zidu, DNS-ju ali ob zagonu z možnostjo »–disable-ipv6«.
Predlagana sprememba bo pospešila čas za konfiguriranje povezav TCP in zmanjšala učinek zamud pri ločitvi DNS.
Pri preusmeritvi zahtev se uporablja algoritem »Happy Eyeballs«, ki takoj uporabi prejeti IP-naslov, ne da bi čakal na razrešitev vseh potencialno razpoložljivih ciljnih IPv4 in IPv6 naslovov.
Za uporabo v direktivi "external_acl" je bil gonilnik "ext_kerberos_sid_group_acl" dodan za preverjanje pristnosti s skupinami za preverjanje v imeniku Active Directory z uporabo Kerberos. Pripomoček ldapsearch, ki ga ponuja paket OpenLDAP, se uporablja za poizvedovanje po imenu skupine.
Dodani sta direktivi mark_client_connection in mark_client_pack za vezavo oznak Netfilter (CONNMARK) na posamezne pakete ali povezave odjemalca TCP
Nazadnje je omenjeno, da so bile po korakih iz objavljenih različic Squid 5.2 in Squid 4.17 odpravljene naslednje ranljivosti:
- CVE-2021-28116-Uhajanje informacij pri obdelavi posebej izdelanih sporočil WCCPv2. Ranljivost omogoča napadalcu, da pokvari seznam znanih usmerjevalnikov WCCP in promet preusmeri iz odjemalca proxy na gostitelja. Težava se kaže le v konfiguracijah z omogočeno podporo WCCPv2 in kadar je mogoče ponarediti naslov IP usmerjevalnika.
- CVE-2021-41611: napaka pri preverjanju potrdil TLS, ki omogočajo dostop z uporabo nezaupanja vrednih potrdil.
Končno, če želite izvedeti več o tem, si lahko podrobnosti ogledate na naslednji povezavi.