Uma vulnerabilidade com quase três décadas foi descoberta no Squid, um dos servidores proxy de código aberto mais utilizados no mundo. Batizada de Squidbleed, a falha permitiu a exposição silenciosa de pedidos HTTP em texto simples, incluindo credenciais de acesso e tokens de sessão de utilizadores. A descoberta foi feita com o auxílio de inteligência artificial, de acordo com o avançado pelo The Register.
O investigador Lam Jun Rong, da empresa de segurança Calif.io, encontrou o problema de forma acidental enquanto tentava ligar-se à internet num voo comercial. O sistema do avião utilizava uma versão antiga do Squid, o que o levou a investigar o código com a ajuda do modelo Claude Mythos Preview da Anthropic. Para os administradores de redes e empresas em Portugal que dependem desta infraestrutura para filtrar e monitorizar tráfego, esta descoberta realça o risco severo de manter protocolos desatualizados ativos nas configurações de servidor.
A origem do problema no protocolo FTP
A raiz deste erro, registado como CVE-2026-47729, remonta a uma alteração de código introduzida em 1997. O objetivo original era adicionar suporte para os antigos servidores NetWare, muito populares para serviços locais de impressão e partilha antes de os sistemas baseados em Linux e Windows dominarem o mercado corporativo. Os servidores FTP do NetWare inseriam espaços adicionais entre a data de modificação e o nome do ficheiro, obrigando o Squid a usar um ciclo de código específico para ignorar esse espaço.
O modelo de inteligência artificial percebeu que, se um servidor FTP malicioso não fornecesse um nome de ficheiro após a data, o ciclo não parava onde devia. Isto forçava o sistema a ler para lá do limite da memória intermédia e a devolver os dados residuais ao atacante, um processo detalhado tecnicamente pelo investigador no seu blogue da Calif.io.
A solução para proteger as redes
O investigador reportou a falha aos responsáveis do projeto em abril, e a correção foi aplicada na versão 7.6 do Squid, lançada a 8 de junho. A alteração ao código é simples e passa por verificar a terminação nula antes de iniciar a pesquisa de caracteres, algo que os administradores podem consultar diretamente no repositório do GitHub do projeto.
A recomendação principal para quem gere estas infraestruturas é a atualização imediata do software. O investigador aconselha também a desativação completa do suporte para FTP no proxy, a menos que exista uma necessidade absoluta. Dado que os navegadores modernos abandonaram o suporte para FTP há vários anos, a esmagadora maioria das organizações tem um tráfego legítimo praticamente nulo neste protocolo, pelo que desligá-lo elimina esta superfície de ataque sem causar constrangimentos operacionais.
Nenhum comentário
Seja o primeiro!