Squidbleed falha de heap em Squid que expõe credenciais em texto claro em proxies compartilhados CVE-2026-47729

Um erro de sobreletura de heap no 'proxy' Squid - apoiado Squidbleed (CVE-2026-47729) - pode filtrar um atacante informações em texto claro dos pedidos HTTP de outros usuários do mesmo proxy, incluindo cabeçalhos Authorization ou tokens de sessão. Ao contrário de vulnerabilidades que permitem o acesso de qualquer host na Internet, o atacante já deve estar autorizado a usar o proxy: é a clássica ameaça de um cliente de confiança malicioso em redes compartilhadas como universidades, escritórios ou Wi-Fi públicas.

A origem do bug é uma sutileza no parseo de listados FTP herdado dos anos 90: um ciclo que salta espaços depende da função strchr sem verificar se chegou ao caráter NUL final da cadeia. Se um servidor de FTP controlado pelo atacante envia uma linha truncada que acaba logo após a marca temporária e não inclui nome de arquivo, o código caminha fora do búfer e cópia bytes adjacentes liberados, que na prática contêm partes de outros pedidos de HTTP que Squid deixou em memória. Como Squid não limpa os búferes antes de reutilizá-los, o resultado pode ser a exposição de credenciais claro.

É importante entender o alcance: Só estão em risco os pedidos de HTTP em texto claro (ou tráfego que Squid descifre intencionalmente). O túnel CONNECT usado por HTTPS padrão mantém a sessão opaca para Squid, pelo que o conteúdo encriptado não é afetado. No entanto, muitas redes ainda permitem FTP e Porto 21 costuma estar ativo por defeito em Squid, o que facilita o vetor de exploração se um atacante interno oferecer um servidor FTP malformado.

A correcção upstream consiste em adicionar uma verificação explícita do terminador NUL antes de chamar o strchr em FtpGateway.cc; o adesivo chegou a ramos de desenvolvimento e à série v7 na primavera, embora os fios públicos de manutenção tenham mostrado alguma inconsistência sobre quais versões contêm realmente o arranjo. Por isso Não basta actualizar por versão: é necessário verificar o adesivo aplicado no seu binário ou no pacote da distribuição.

Acções recomendadas de emergência para administradores de rede e equipamentos de segurança: aplique adesivos publicados pelo seu fornecedor e confirme que a correcção afecta o FtpGateway.cc (ou o commit equivalente se a sua distribuição backportea alterações). Se você não pode corrigir imediatamente, desactive o manejo de FTP em Squid; é a mitigação mais limpa e a que recomendam os pesquisadores, uma vez que muitos ambientes já não usam FTP ativamente. Além disso, considere bloquear o tráfego de saída para o porto 21 na porta de ligação da rede para reduzir o risco.

Depois de corrigir ou desactivar o FTP, verifique o seu ambiente: rote credenciais e tokens expostos se suspeitar de compromisso, verifique registos do 'proxy' em busca de ligações internas invulgares e procure logs que indiquem respostas curtas de servidores FTP ou tráfego para servidores FTP controlados por hosts internos. Se a sua implantação usa interceptação TLS (terminação TLS em Squid), tenha em conta que esse tráfego fica em risco e deve ser controlado com prioridade.

Para equipamentos que dependem de pacotes de terceiros, verifique o estado na sua distribuição: alguns mantenedores publicam adesivos backportados e notas nos trackers de segurança. Você pode consultar o registro público do CVE em fontes oficiais e a página do projeto Squid para seguimento de lançamentos e advisories; exemplos úteis são a ficha NVD do CVE e o site do projeto Squid: https://nvd.nist.gov/vuln/detail/CVE-2026-47729 e https://www.squid-cache.org/. Para distribuições Debian/Ubuntu, o tracker de segurança costuma mostrar o estado dos pacotes e backports: https://security-tracker.debian.org/tracker/CVE-2026-47729.

Essa incidência também ilustra duas tendências úteis para defensores: primeiro, as cadeias de código histórico e parsers escritos para protocolos antigos continuam sendo fontes prolíficas de falhas de memória; segundo, ferramentas de análise assistidas por modelos e agentes automatizados estão ajudando a detectar padrões sutis - neste caso, pesquisadores citam que um modelo de IA ajudou a identificar a peculiaridade de strchr -, o que converte essas ferramentas em complementos valiosos para auditorias de segurança em código legado.

Em suma, o risco é real, mas acotado: requer acesso ao proxy e a capacidade de direcionar o proxy para um servidor FTP malformado. Ainda assim, a recomendação prática é clara e de baixo custo: deshabilite FTP em Squid se você não precisa e confirme que sua instalação incorpora a verificação do terminador NUL em FtpGateway.cc. Onde há dúvida sobre a correção, trate o incidente como se houvesse exposição e rote credenciais críticas.