Lỗ hổng 29 năm tuổi ‘Squidbleed’ trên Squid Proxy cho phép rò rỉ dữ liệu HTTP

Một lỗ hổng bảo mật nghiêm trọng mang tên Squidbleed (định danh CVE-2026-47729) vừa được các nhà nghiên cứu tại Calif.io công bố. Lỗ hổng này tồn tại trong trình phân tích danh mục FTP của Squid web proxy, cho phép kẻ tấn công thực hiện kỹ thuật heap over-read để đánh cắp các yêu cầu HTTP cleartext của người dùng khác, bao gồm cả thông tin xác thực và session token.

Cơ chế tấn công

Squidbleed xuất phát từ một thay đổi trong mã nguồn xử lý FTP từ năm 1997. Lỗi nằm ở vòng lặp xử lý khoảng trắng trong trình phân tích danh mục FTP. Khi gặp một dòng dữ liệu được thiết kế đặc biệt từ server FTP do kẻ tấn công kiểm soát, trình phân tích không dừng lại đúng cách mà tiếp tục đọc vượt quá giới hạn bộ đệm (buffer). Vì Squid tái sử dụng bộ nhớ đã giải phóng mà không xóa sạch dữ liệu cũ, kẻ tấn công có thể truy xuất các phần của yêu cầu HTTP từ những người dùng khác đang chia sẻ cùng một proxy.

Lỗ hổng này đặc biệt nguy hiểm trong các môi trường mạng dùng chung như trường học, văn phòng hoặc Wi-Fi công cộng. Tuy nhiên, phạm vi ảnh hưởng bị giới hạn ở các yêu cầu HTTP cleartext hoặc các kết nối TLS-terminating mà Squid có quyền giải mã và kiểm tra.

Cách khắc phục

Các chuyên gia khuyến nghị người dùng thực hiện các bước sau để bảo vệ hệ thống:

• Cập nhật bản vá: Kiểm tra kỹ các bản cập nhật từ nhà phân phối hệ điều hành. Mặc dù các thông tin về phiên bản chứa bản vá (như 7.6 hoặc 7.7) có thể gây nhầm lẫn, người dùng nên xác nhận mã nguồn đã được cập nhật trong FtpGateway.cc.
• Vô hiệu hóa FTP: Đây là giải pháp triệt để nhất. Vì giao thức FTP hiện nay ít được sử dụng trong các mạng hiện đại, việc tắt tính năng này trên Squid sẽ loại bỏ hoàn toàn bề mặt tấn công của lỗ hổng này.

Lỗ hổng này được đánh giá ở mức độ rủi ro trung bình (CVSS 6.5) vì yêu cầu kẻ tấn công phải có quyền truy cập vào proxy trước đó. Đáng chú ý, lỗ hổng này được phát hiện nhờ sự hỗ trợ của các mô hình AI, cho thấy xu hướng sử dụng AI để tìm kiếm các lỗi mã nguồn cũ kỹ đang ngày càng phổ biến.

Nguồn tham khảo: The Hacker News