Bezpečnostní odborníci ze společnosti Calif.io objevili závažnou zranitelnost v proxy serveru Squid, která umožňuje únik komunikace v prostém textu. Chyba byla nazvána Squidbleed a svým principem je velmi podobná dvanáct let staré chybě Heartbleed, která se vyskytovala v OpenSSL.
Chyba s označením CVE-2026–47729 se v kódu objevila v roce 1997 a stále je ve výchozí konfiguraci zneužitelná. Problém spočívá v překročení kapacity haldy, což může způsobit únik HTTP požadavku jiného uživatele v nešifrované podobě, včetně případných přihlašovacích údajů nebo tokenů relace, které tento požadavek obsahuje. Stačí k tomu oprávnění odesílat provoz přes stejný proxy server.
Chyba se nachází v parseru výpisů adresářů FTP v programu Squid. Aby kód dokázal zpracovat staré servery NetWare, které do výpisů vkládaly nadbytečné mezery, přeskočí tyto mezery pomocí smyčky: while (strchr(w_space, *copyFrom)) ++copyFrom;.
Ale útočníkův FTP server odešle řádek se seznamem souborů, který končí hned za časovým razítkem a neobsahuje název souboru, funkce copyFrom narazí na konec řetězce. Funkce strchr považuje tento ukončovací znak NUL za součást řetězce, ve kterém hledá, a proto vrátí ukazatel namísto hodnoty NULL, čímž se smyčka nikdy nezastaví. Smyčka tak překročí konec vyrovnávací paměti a funkce xstrdup zkopíruje vše, co následuje, zpět útočníkovi jako název souboru.
Squid znovu využívá uvolněné paměťové buffery, aniž by je vyprázdnil, takže 4KB buffer, který nedávno obsahoval HTTP požadavek oběti, stále drží většinu citlivých dat. Krátký FTP příkaz přepsal pouze prvních několik bajtů, přečtení nad rámec kapacity bufferu tedy vrátí zbytek se spoustou užitečných dat.
Oprava je velmi malá, stačí před voláním zranitelného strchr provést kontrolu, zda řetězec končí nulou. Úprava byla zahrnuta do Squid verze 7.7. Jako rychlé řešení funguje také vypnutí podpory FTP na proxy serveru.
