「Squid 7.8」リリース ─ 設定解析時のバッファーオーバーフローを修正

HTTP、FTP、ICAP、ICPなど異常なプロトコル入力への耐性も強化

0:37

　Squid HTTP Proxy teamは10月31日(現地時間)、オープンソースのプロキシ・Webキャッシュソフトウェア「Squid 7.8」をリリースした。

　「Squid」は、HTTPやHTTPS、FTPなどの通信を中継するプロキシサーバ。コンテンツのキャッシュによる通信量の削減や応答の高速化に加え、アクセス制御、認証、コンテンツフィルタリングなどに利用できる。

　「Squid 7.8」は、現在の安定系列であるSquid 7の修正リリース。HTTP、FTP、ICAP、Cache Digest、WCCP、ICPなどで不正または異常なデータを処理した際の信頼性を改善したほか、不正な設定によってクラッシュやバッファーオーバーフローが発生する問題も修正された。

　「Squid 7.8」のハイライトは次の通り。
〇値が指定されていない「request_header_add」を解析するとクラッシュする問題を修正
〇URLを伴わない「deny_info NNN」の解析でバッファーオーバーフローが発生する問題を修正
〇終端位置にINT64_MAXを指定したRangeおよびContent-Rangeヘッダーを拒否
〇URLに含まれる「%00」のパーセントエンコーディングを不正として扱うように変更
〇「uri_whitespace chop」によるURI処理を改善
〇Cache Digestのマスクサイズ計算を改善
〇「cache_peer」と関連付けられていない一部のICP応答を処理できるように変更
〇FTPディレクトリ一覧の特殊な文字列を適切にエスケープ
〇ICAPのTrailer検証に失敗した際、アサーション終了ではなく明示的なエラーとして処理
〇「basic_radius_auth」と「negotiate_sspi_auth」の入力処理やクラッシュを修正
〇WCCPパケットを解析する際のオフセット計算を修正
〇未実装だった「sslflags=DELAYED_AUTH」設定を削除
など。

　Squid 7.8は、GitHubから入手できる。

(川原龍人/びぎねっと)

[関連リンク]
リリースアナウンス
 Squid 7.8(GitHub)

この記事をシェアしてください