خطأ Squid Proxy البالغ من العمر 29 عامًا يمكن أن يؤدي إلى تسرب طلبات HTTP Cleartext – Slashdot
يمكن لخلل يبلغ من العمر 29 عامًا في وكيل الويب Squid، والذي يطلق عليه اسم Squidbleed وتتبعه باسم CVE-2026-47729، أن يسمح لمستخدم وكيل معتمد باسترداد أجزاء من طلبات HTTP ذات النص الواضح لمستخدم آخر، بما في ذلك بيانات الاعتماد والرموز المميزة للجلسة. الباحث الأمني الذي أبلغ عن الخلل نسب الفضل إلى Anthropic’s Claude Mythos Preview في اكتشافه. تقارير Hacker News: يصف Squid هذا بأنه هجوم من قبل عميل موثوق به: شخص مسموح له بالفعل باستخدام الوكيل، وليس أي مضيف عشوائي على الإنترنت. يتطابق ذلك مع منزل Squid المعتاد والشبكات المشتركة مثل المدارس والمكاتب وشبكة Wi-Fi العامة. في تلك الإعدادات، يكون المهاجم مجرد مستخدم آخر لنفس الوكيل. يصل التسرب أيضًا إلى حركة المرور التي يستطيع Squid قراءتها فقط. يستخدم HTTPS العادي نفق CONNECT غير الشفاف، لذلك لا يرى Squid ما بداخله أبدًا؛ حركة المرور المكشوفة هي نص واضح HTTP، بالإضافة إلى إعدادات إنهاء TLS حيث يقوم Squid بفك التشفير والفحص. يحتاج المهاجم أيضًا إلى الوكيل للوصول إلى خادم FTP الذي يتحكم فيه على المنفذ 21. يتم تشغيل كل من FTP وهذا المنفذ بشكل افتراضي. (…) إذا قمت بالتصحيح، فتحقق من الإصلاح، وليس فقط الإصدار. تأكد من وجود الحارس في FtpGateway.cc، أو تحقق من المنفذ الخلفي للتوزيع، حيث أن التوزيعات تشحن إصداراتها الخاصة (حزم دبيان Squid 5.7). لا يزال الخيط العام غير متسق: قال المشرف عاموس جيفريز أولاً إن Squid 7.6 يحمل الإصلاح، ثم صحح ذلك إلى 7.7، وفي 22 يونيو، أشار سلفاتوري بوناكورسو من دبيان إلى أن الالتزام المشار إليه يبدو وكأنه موجود بالفعل في 7.6. الإصلاح صغير، وهو فحص فاصل فارغ قبل استدعاءات strchr الضعيفة، ودمجها في فرع التطوير في أبريل والإصدار 7 في مايو. يقوم Squid 7.6 بتصحيح CVE-2026-50012 بشكل منفصل، وهو تجاوز سعة ذاكرة التخزين المؤقت غير ذات الصلة. الخطوة الأنظف هي التي يوصي بها الباحثون على أي حال: إيقاف تشغيل FTP. لقد أسقط Chromium بروتوكول نقل الملفات (FTP) منذ سنوات مضت، ولا تحمل معظم الشبكات أيًا منه تقريبًا، لذا فإن تعطيله يؤدي إلى إزالة سطح الهجوم هذا مجانًا، مهما كان الإصدار الذي تقوم بتشغيله. الخطر حقيقي ولكنه محدود. قام SUSE بتصنيفه على أنه متوسط، وهو CVSS 6.5، ويشرح المتجه النتيجة: يحتاج المهاجم إلى الوصول إلى الوكيل (امتيازات منخفضة)، والتأثير الوحيد هو السرية، ولا شيء يتعلق بالنزاهة أو التوفر.
تم النشر: 2026-06-24 00:00:00
مصدر: it.slashdot.org
