Squidbleed: 29 Jahre alte Lücke in populärer Proxy-Software entdeckt
Die zuletzt unter anderem durch die Entdeckung von HTTP/2 Bomb aufgefallenen Sicherheitsforscher von Calif haben mithilfe von Claude Mythos eine Sicherheitslücke in der weitverbreiteten freien Proxyserver-Software Squid entdeckt. Angreifer können damit Speicherinhalte leaken und Daten aus von Squid verarbeiteten HTTP-Requests abgreifen. Die Besonderheit dabei: Die Lücke wurde 1997 eingeführt und blieb damit fast drei Jahrzehnte unentdeckt.
Details zu ihrem Fund schildern die Forscher in einem Blogbeitrag(öffnet im neuen Fenster). Dort schreiben sie der Lücke Ähnlichkeiten zum vor über zehn Jahren bekannt gewordenen OpenSSL-Bug Heartbleed zu und nennen ihre Entdeckung passend dazu Squidbleed. Als anfällig gilt jede in den letzten 29 Jahren veröffentlichte Squid-Version in der Standardkonfiguration.
Squidbleed ist als CVE-2026-47729(öffnet im neuen Fenster) registriert und setzt sich den Angaben zufolge aus Bugs in mehreren Komponenten der Squid-Software zusammen. Das Ergebnis ist laut Beschreibung ein möglicher "Heap-Buffer-Overread, der unbemerkt zufällige HTTP-Anfragen von Nutzern preisgibt". Auslöser war wohl ein Commit vom 18. Januar 1997(öffnet im neuen Fenster), der ein Problem mit Netware-FTP-Servern beheben sollte.
Nur Klartext-Daten gefährdet
Vor drei Jahrzehnten war das Leaken von HTTP-Daten sicherlich noch ein ernstes Problem. Dank der hohen Verbreitung von HTTPS und der damit einhergehenden Verschlüsselung des Traffics dürfte das Risiko heute aber eher gering sein. Eine ernst zu nehmende Gefahr geht von Squidbleed wohl nur bezüglich solcher Daten aus, die unverschlüsselt übertragen werden. Dann lassen sich aber beispielsweise auch Authentifizierungsdaten abgreifen, wie die Forscher in einem Videoclip(öffnet im neuen Fenster) demonstrieren.
Zudem ist die Sicherheitslücke nur ausnutzbar, wenn Squid einen vom Angreifer kontrollierten FTP-Server erreichen kann. Die Forscher empfehlen daher auch, die FTP-Funktion als Schutzmaßnahme zu deaktivieren, um anfällige Systeme vor möglichen Squidbleed-Attacken zu schützen.
Gepatcht wurde Squidbleed schon im April, unmittelbar nach der Entdeckung durch die Calif-Forscher. Am 8. Juni wurde die Korrektur(öffnet im neuen Fenster) dann mit der Squid-Version 7.6 veröffentlicht(öffnet im neuen Fenster). Administratoren, die auf FTP-Traffic angewiesen sind und den vorgeschlagenen Workaround daher nicht anwenden können, sollten ihre Squid-Instanzen auf diese Version aktualisieren.
- Anzeige Hier geht es zu Künstliche Intelligenz: Wissensverarbeitung bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.