Hvad Squidbleed faktisk lækker
Squidbleed, registreret som CVE-2026-47729, er en heap-buffer-overlæsning i parseren for FTP-mappelister i Squid, en af de mest udbredte webproxyer på internettet. Når Squid gengiver en FTP-liste, hvor filnavnet mangler, løber en løkke, der springer mellemrum over, et skridt for langt og læser hukommelse ud over den tiltænkte buffer. Fordi Squid genbruger frigivet hukommelse mellem forespørgsler, er de vildfarne bytes ofte fragmenter af andre brugeres trafik: HTTP-forespørgsler i klartekst med adgangskoder, cookies, sessionstokens og API-nøgler.
Eksponeringen er snævrere end ved Heartbleed, men reel. En angriber skal være berettiget bruger af en delt proxy og skal kontrollere en FTP-server, som proxyen kan nå på port 21, hvilket retter risikoen mod insidere og mod enhver opsætning, hvor proxyen terminerer TLS. HTTPS-trafik, der sendes videre som en uigennemsigtig tunnel, forbliver forseglet, så det, der står på spil, er HTTP-strømmene i klartekst og de TLS-terminerede strømme, der stadig hver dag går gennem virksomhedernes proxyer.
Én linje, niogtyve år, og den AI der fandt den
Årsagen er næsten banal. Koden kaldte strchr på en streng, der kunne være tom, og C-standarden siger, at strchr behandler den afsluttende null-byte som en del af strengen, så tjekket, der skulle stoppe ved slutningen af inputtet, fortsatte stille forbi. Det skyldige mønster går tilbage til en Squid-commit fra januar 1997, hvilket betyder, at fejlen blev leveret i standardkonfigurationer, port 21 står på standardlisten Safe_ports, og det i niogtyve år på tværs af utallige udgivelser, omskrivninger og sikkerhedsgennemgange. Rettelsen er en enkelt tilføjet betingelse, et null-tjek før strchr, eller at slukke helt for FTP, som Chromium droppede for år tilbage, og som næsten intet netværk længere læner sig op ad.
Detaljen, der bør fastholde en operatørs opmærksomhed, er, hvem der fandt den. To forskere rapporterede den uafhængigt af hinanden, Pavel Kohout fra Aisle Research i marts 2026 og Lam Jun Rong fra Calif.io i april, vedligeholderne flettede rettelsen ind i løbet af få dage, og den offentlige advisory fulgte den 23. juni. Men den oprindelige opdagelse kom fra en AI-agent, der havde til opgave at gennemgå FTP-tilstandsmaskinen, og ikke fra endnu et menneskeligt audit. Den bekvemme antagelse om, at gammel, hårdt gennemgået kode er sikker i kraft af sin alder, dumpede lige en meget offentlig prøve, og værktøjet, der brød den, er nu billigt og bredt tilgængeligt.
Hvad en operatør bør gøre i denne uge
Det konkrete skridt er lille: gør status over hver Squid-instans, du kører, patch til en rettet udgivelse, og hvis du ikke bevidst har brug for FTP-proxy, så slå den fra og fjern port 21 fra Safe_ports. Prioriter enhver proxy, der terminerer TLS eller bærer HTTP i klartekst for flere brugere, for det er der, kollegers legitimationsoplysninger kan lække til hinanden. I Storbritannien behandler National Cyber Security Centre eksponering af legitimationsoplysninger på delt infrastruktur som en indberetningspligtig type hændelse, og i hele EU lægger NIS2-regimet ansvaret for en kendt, upatchet fejl på den navngivne øverste ledelse og ikke kun på sikkerhedsteamet.
Det større træk er at holde op med at behandle en afhængigheds alder som bevis på dens sikkerhed. En fejl på én linje gemte sig i niogtyve år i software, som tusindvis af organisationer stolede på netop fordi den var moden, og en AI, der gennemgik koden, fandt den i ét enkelt gennemløb. Forvent, at flere af disse sovende fejl dukker op i dine ældste og mest betroede komponenter, og budgetter med en jævn strøm af små, uglamourøse patches i stedet for en enkelt dramatisk.
Læs videre: AI-revision overså Linux-hullet der giver root | Denne malware sletter først dine backups
