“Como es de esperar, la versión de Squid implementada en ese avión fue lanzada hace casi 10 años y se ve afectada por la vulnerabilidad que voy a compartir con ustedes”, escribió Rong en una entrada de blog sobre el error, al que bautizó como Squidbleed e investigó con la ayuda de Claude Mythos Preview de Anthropic.

Rong informó el error, rastreado como CVE-2026-47729, a los mantenedores de Squid en abril, y ha sido corregido en Squid v7.6, lanzada el 8 de junio.

Los lectores pueden recordar a Calif por su investigación anterior sobre HTTP/2 Bomb, descubierta por el agente Codex de OpenAI, y la firma de búsqueda de errores mediante IA también colaboró con OpenAI en su iniciativa Patch the Planet, anunciada el lunes.

Según Rong, Squidbleed filtra la memoria interna de cada versión de Squid en su configuración predeterminada bajo dos condiciones. Primero, Squid debe ser capaz de leer e inspeccionar el tráfico de red, por lo que debe estar manejando HTTP en texto claro (no HTTPS) o estar desplegado en configuraciones con terminación TLS.

Además, el proxy debe tener permitido llegar a un servidor FTP (File Transfer Protocol) controlado por un atacante a través del puerto TCP 21. El FTP es un protocolo obsoleto para mover archivos entre máquinas y Squid lo soporta, que es donde reside el problema.

El error existe en el analizador de listados de directorios FTP de Squid, y fue inyectado en el código de código abierto como un commit (bb97dd37a) creado en 1997 para soportar antiguos servidores NetWare.

NetWare es un sistema operativo de red discontinuado que fue popular en las décadas de 1980 y 1990, proporcionando servicios de archivo e impresión a través de redes de área local antes de que los servidores Windows y Linux se volvieran dominantes. Los servidores FTP de NetWare también añadían espacios en blanco adicionales entre la marca de tiempo de modificación y el nombre del archivo, en comparación con la mayoría de los demás servidores FTP que solo usaban un solo espacio.

El commit de 1997 solucionó este problema de NetWare instruyendo al código para omitir el espacio en blanco adicional utilizando este bucle: while (strchr(w_space, *copyFrom)) ++copyFrom;.

Como descubrió Mythos Preview, si el servidor FTP de un atacante no proporciona un nombre de archivo después de la marca de tiempo de modificación, copyFrom apunta al carácter NUL de terminación al final de la cadena.

“strchr trata ese NUL de terminación como parte de la cadena que busca, por lo que devuelve un puntero en lugar de NULL, y el bucle nunca se detiene”, explica Rong. “Se sale del final del búfer, y xstrdup copia lo que sigue de vuelta al atacante como un nombre de archivo”.

Esto resulta en una lectura excesiva del heap (heap overread) y puede filtrar solicitudes HTTP que a menudo contienen contraseñas o claves de API, y Rong demostró este exploit en una prueba de concepto.

“El parche es simple: verificar el terminador nulo antes de llamar a strchr”, escribió Rong.

Si utilizas Squid, asegúrate de descargar la versión de junio para corregir este fallo. Además, como sugiere Rong, deberías deshabilitar FTP a menos que haya una “necesidad específica e inusual para ello”. Los navegadores basados en Chromium dejaron de soportar FTP hace años y por una buena razón. Esto significa que “la mayoría de las organizaciones que ejecutan Squid están recibiendo casi cero tráfico FTP legítimo”, señaló el detective de seguridad. “Desactivarlo elimina toda esta superficie de ataque gratuitamente”.

Fuente:
TheRegister