Üç yıllık geliştirme sürecinin ardından, Squid proxy sunucusunun yeni kararlı sürümü olan 5.1 yayınlandı ve üretim sistemlerinde kullanıma hazır (5.0.x sürümleri beta aşamasındaydı).
5.x dalı kararlı bir duruma ulaştıktan sonra, bundan böyle yalnızca güvenlik açıkları ve kararlılık sorunlarına yönelik düzeltmeler ve küçük optimizasyonlar uygulanacaktır. Yeni özellik geliştirme, yeni deneysel 6.0 dalında gerçekleştirilecektir. Önceki kararlı 4.x dalını kullananların 5.x dalına geçiş planlamaları önerilir.
Squid 5.1 Ana Yeni Özellikler
Bu yeni sürümde, lisans sorunları nedeniyle Berkeley DB formatıyla uyumluluk kaldırılmıştır . Berkeley DB 5.x dalı birkaç yıldır desteklenmemektedir ve hala yamalanmamış güvenlik açıkları içermektedir; ayrıca daha yeni sürümlere yükseltme, gereksinimleri Berkeley DB'yi kütüphane olarak kullanan uygulamalar için de geçerli olan AGPLv3 lisansını değiştirmeye izin vermemektedir. Squid, GPLv2 lisansı altında yayınlanmıştır ve AGPL, GPLv2 ile uyumlu değildir.
Proje, Berkeley DB yerine, Berkeley DB'nin aksine veritabanına eş zamanlı paralel erişim için optimize edilmiş olan TrivialDB DBMS'yi kullanmaya geçmiştir. Berkeley DB desteği şimdilik sürdürülmektedir, ancak "ext_session_acl" ve "ext_time_quota_acl" işleyicilerinde "libdb" yerine "libtdb" depolama türünün kullanılması önerilmektedir.
Ek olarak, RFC 8586'da tanımlanan ve içerik dağıtım ağlarını kullanırken döngüleri algılamaya izin veren HTTP CDN-Döngüsü başlığı için destek eklendi (başlık, herhangi bir nedenle CDN'ler arasında yeniden yönlendirme sırasında bir isteğin döndüğü durumlara karşı koruma sağlar). sonsuz bir döngü oluşturan orijinal CDN'ye).
Ayrıca, şifrelenmiş HTTPS oturumlarının içeriğini yakalamaya olanak tanıyan SSL-Bump mekanizması, HTTP CONNECT yöntemine dayalı normal bir tünel kullanarak cache_peer'de belirtilen diğer proxy sunucuları üzerinden sahte HTTPS isteklerini yönlendirme desteği ekledi (Squid henüz TLS içinde TLS iletemediği için HTTPS üzerinden iletim desteklenmiyor).
SSL-Bump, yakalanan ilk HTTPS isteğini aldıktan sonra hedef sunucuyla bir TLS bağlantısı kurar ve sertifikasını alır. Ardından Squid, sunucudan alınan gerçek sertifikanın ana bilgisayar adını kullanarak sahte bir sertifika oluşturur ve bu sahte sertifikayı, istemciyle etkileşim kurarken istenen sunucuyu taklit etmek için kullanırken , hedef sunucuyla kurulan TLS bağlantısını kullanarak veri almaya devam eder.
Ayrıca , harici içerik doğrulama sistemleriyle entegrasyon için kullanılan ICAP (İnternet İçerik Uyarlama Protokolü) uygulamasının , mesaj gövdesinden sonra ek meta veri başlıklarının eklenmesine olanak tanıyan veri ekleme mekanizmasına destek eklediğini de belirtmekte fayda var.
"dns_v4_first" değerini dikkate almak yerine»IPv4 veya IPv6 adres ailesinin kullanım sırasını belirlemek için, şimdi DNS'deki yanıtın sırası dikkate alınır- Bir IP adresinin çözülmesini beklerken önce DNS'den gelen AAAA yanıtı görünürse, elde edilen IPv6 adresi kullanılacaktır. Bu nedenle, tercih edilen adres ailesi ayarı artık güvenlik duvarında, DNS'de veya başlatma sırasında "–disable-ipv6" seçeneğiyle yapılır.
Önerilen değişiklik, TCP bağlantılarını yapılandırma süresini hızlandıracak ve DNS çözümlemesindeki gecikmelerin performans üzerindeki etkisini azaltacaktır.
İstekler yönlendirilirken, tüm potansiyel olarak kullanılabilir hedef IPv4 ve IPv6 adreslerinin çözümlenmesini beklemeden, alınan IP adresini hemen kullanan "Happy Eyeballs" algoritması kullanılır .
"external_acl" yönergesinde kullanılmak üzere, Kerberos kullanılarak Active Directory'de doğrulama gruplarıyla kimlik doğrulama için "ext_kerberos_sid_group_acl" sürücüsü eklenmiştir. OpenLDAP paketi tarafından sağlanan ldapsearch yardımcı programı, grup adını sorgulamak için kullanılır.
Netfilter (CONNMARK) etiketlerini tek tek paketlere veya istemci TCP bağlantılarına bağlamak için mark_client_connection ve mark_client_pack yönergeleri eklendi
Son olarak, Squid 5.2 ve Squid 4.17'nin yayınlanan sürümlerinde izlenen adımlar doğrultusunda aşağıdaki güvenlik açıklarının giderildiği belirtilmiştir :
- CVE-2021-28116 - Özel hazırlanmış WCCPv2 iletileri işlenirken bilgi sızıntısı. Güvenlik açığı, bir saldırganın bilinen WCCP yönlendiricileri listesini bozmasına ve proxy istemcisinden ana bilgisayara trafiği yeniden yönlendirmesine olanak tanır. Sorun, yalnızca WCCPv2 desteğinin etkin olduğu yapılandırmalarda ve yönlendiricinin IP adresinin taklit edilmesinin mümkün olduğu durumlarda kendini gösterir.
- CVE-2021-41611: güvenilmeyen sertifikaları kullanarak erişime izin veren TLS sertifikalarını doğrulama hatası.
Son olarak, konu hakkında daha fazla bilgi edinmek isterseniz, aşağıdaki bağlantıdan detayları inceleyebilirsiniz .