LONDON (IT BOLTWISE) – In Squid steckt mit „Squidbleed“ (CVE-2026-47729) eine Heap-Over-Read-Lücke, die Klartext-HTTP-Anfragen anderer Nutzer aus demselben Proxy-Kontext auslesen kann. Betroffen sind typische Umgebungen wie Schul-, Büro- oder Public-Wi‑Fi-Netze, in denen viele Clients den gleichen Proxy verwenden. Der Leak greift jedoch nur bei HTTP ohne Ende-zu-Ende-Verschlüsselung und erfordert zusätzlich ein FTP-Ziel auf Port 21, das der Angreifer kontrolliert. Für Unternehmen heißt das: Patchen ist nur die halbe Lösung – vor allem sollte FTP im Proxy konsequent deaktiviert werden.
Wenn ein Proxy-Server als „vertrauenswürdig“ gilt, verlagert sich das Risiko oft stillschweigend von externen Angriffen hin zu lateralem Missbrauch innerhalb einer gemeinsamen Netzumgebung. Genau dieses Muster beschreibt „Squidbleed“: Ein Heap-Over-Read im weit verbreiteten Web-Proxy Squid kann dazu führen, dass eine bereits berechtigte Gegenpartei Teile einer Klartext-HTTP-Anfrage eines anderen Nutzers ausliest. Der Mechanismus ist besonders tückisch, weil er nicht auf eine exotische Konfiguration angewiesen ist – Forschende zeigen, dass die Schwachstelle noch in der Standardauslieferung aktiv sein kann und damit vor allem in geteilten Proxy-Setups ins Gewicht fällt.
Technisch wurzelt die Lücke in der Verarbeitung von FTP-Directory-Listings durch den Squid-Parser. Historisch reicht die betroffene Logik bis auf eine Änderung aus den 1990er-Jahren zurück, als FTP-Server mit proprietären Layouts unterstützt werden sollten. Der relevante Code versucht, Überzählige Whitespace-Zeichen zu überspringen – allerdings mit einer fehlerhaften Annahme über den Abschluss der Eingabestrings. Wenn eine Listing-Zeile vom Angreifer so endet, dass der Parser in einen Null-Terminator „hineinläuft“, behandelt die String-Suchfunktion dieses NUL als gültigen Bestandteil der Suche. Dadurch kann die Schleife nicht rechtzeitig stoppen und läuft über das Ende des Puffers hinaus.
Damit wird der eigentliche Leak möglich: Squid repliziert in dem betroffenen Pfad Daten aus Speicherbereichen, die eigentlich nicht für den Angreifer bestimmt sind. Besonders kritisch ist die Art, wie der Proxy Puffer wiederverwendet. Freigegebene Speicherbereiche werden häufig nicht mit Nullwerten bereinigt; stattdessen liegen dort noch frühere Inhalte, im konkreten Fall Teile einer zuvor verarbeiteten HTTP-Anfrage. Ein kurzer FTP-Listing-Eintrag kann demnach nur die ersten Bytes überschreiben, während ein Over-Read die „Restdaten“ aus dem weiter hinten liegenden, noch nicht überschriebenen Speicher übernimmt. Der Effekt: Klartextfelder, inklusive Zugangsdaten oder Session-Tokens, können in unzureichend isolierten Proxy-Nutzungsfällen abfließen.
Wichtig ist die Begrenzung des Bedrohungsmodells: Squid selbst beschreibt den Angriff als „trusted client“, also als Missbrauch eines bereits berechtigten Clients, nicht als klassische Internet-Exploitation eines beliebigen Hosts. Das bedeutet in der Praxis, dass die Schwachstelle vor allem dann ernst wird, wenn Nutzer in derselben Organisation oder demselben Gastnetz den Proxy parallel verwenden und der Angreifer bereits Proxy-Zugriff hat. Gleichzeitig erreicht der Leak nur Verkehr, den Squid lesen kann. Reines HTTPS läuft in der Regel als undurchsichtiger CONNECT-Tunnel; Squid sieht den Inhalt nicht, solange nicht explizit eine TLS-Termination und -Inspektion konfiguriert ist, etwa bei bestimmten Sicherheitsgateways.
Der zweite technische Schalter ist FTP: Der Angreifer muss dafür sorgen, dass der Proxy eine FTP-Verbindung zu einem von ihm kontrollierten Server aufbaut, typischerweise auf Port 21, der in vielen Umgebungen grundsätzlich aktiviert ist. Aus Sicht der Angriffsoberfläche erklärt das, warum die Lücke nicht ständig und überall „automatisch“ greift. Sie braucht ein bestimmtes Protokollverhalten in Verbindung mit einem Parserfehler und einer passenden Speicherkonstellation. Wie Sicherheitskreise in der Auswertung betonen, ist die Schwachstelle deshalb zwar real, aber eher im Rahmen eines internen oder halb-internen Szenarios zu verorten – also dort, wo Proxy-Nutzung, FTP-Zugriff und unzureichende Segmentierung zusammenkommen.
Marktseitig ist der Fall auch deshalb interessant, weil sich Proxy- und Gateway-Architekturen in ihrem Umgang mit „alten“ Protokollen deutlich unterscheiden. Moderne Reverse-Proxy- und Service-Mesh-Ansätze wie Envoy oder NGINX stehen zwar ebenfalls vor Parser- und Input-Validierungsrisiken, sind aber typischerweise nicht in dem Maß mit FTP-Listing-Logiken verknüpft wie ein klassischer Forward-Proxy. Genau diese Vergleichbarkeit macht klar, warum die Reduktion von Angriffsflächen in der Praxis oft schneller Wirkung zeigt als rein versionsbasierte Patchprozesse. Branchenexperten formulieren es zugespitzt: „Wenn Protokolle wie FTP nicht zwingend benötigt werden, ist der effektivste Schutz meist das Abschalten – selbst wenn die Lücke klein und isoliert wirkt.“
Die Einordnung in die Sicherheitslandschaft folgt zudem einer bekannten historischen Linie: Seit „Heartbleed“ im TLS-Kontext zeigt die Branche, dass String-/Memory-Semantikfehler in C-Implementierungen systematisch wiederkehren. Auch hier geht es weniger um „neue“ kryptografische Schwächen, sondern um klassische Fehler in Boundary Conditions, wie sie bei Parsen, Suchen und Kopieren auftreten. Dass Forschende den Bug nach einem Muster benennen, ist mehr als Marketing: Es verweist auf die wiederholte Realität, dass ein einziger Over-Read-Knackpunkt große Confidentiality-Schäden verursachen kann, wenn betroffene Daten zuvor im Prozessspeicher vorhanden waren.
Für Unternehmen ergibt sich ein unmittelbarer Handlungsrahmen, der über „Update einspielen“ hinausgeht. Forschende raten ausdrücklich dazu, die Fix-Integration nicht nur über die Versionsnummer zu prüfen, sondern gezielt nachzuschauen, ob die Guard-Logik im relevanten Codepfad sitzt – also ob eine Null-Terminator-Prüfung vor den kritischen `strchr`-Aufrufen implementiert wurde. Zudem ist bei Distributionen Vorsicht geboten: Pakete können Backports enthalten oder Fixes in leicht abweichenden Builds liefern. In der gemeldeten Diskussion berichten Beteiligte zudem von anfangs widersprüchlichen Angaben, welche Squid-Version die Korrektur vollständig enthält, was die Notwendigkeit einer Code- oder Paketprüfung unterstreicht.
Auf Compliance- und Datenschutzebene verstärkt die Lücke ihre Bedeutung: Der Leak betrifft potenziell personenbezogene oder geschäftskritische Daten, etwa Zugangsdaten oder Session-Tokens, die im Klartextkontext vorliegen können. Zwar wird die Integrität oder Verfügbarkeit laut Risikoeinordnung nicht direkt angegriffen, doch gerade Tokens sind häufig der „Schlüssel“ für Folgeaktionen in anderen Systemen. Wenn ein Unternehmen zusätzlich TLS-Inspektion betreibt, steigt die Wahrscheinlichkeit, dass Squid überhaupt Inhalte sehen und damit relevante Bytes im Arbeitsspeicher halten kann. Entsprechend sollte das Sicherheitskonzept nicht nur Patching priorisieren, sondern auch klare Regeln für Proxy-Nutzung, Protokollfreigaben und Segmentierung zwischen Clients definieren.
Der sauberste Schritt entspricht am Ende genau dem, was Forschende empfehlen: FTP im Proxy konsequent deaktivieren. Chromium hat FTP schon vor Jahren aus dem Browser-Kontext entfernt, und in vielen Unternehmensnetzen ist FTP ohnehin kaum noch relevant – häufig handelt es sich eher um Ausnahmen für Altsysteme. In solchen Fällen bietet sich ein kontrollierter Sonderweg an, etwa über separate Gateways mit enger Überwachung statt über den allgemeinen Proxy. Der Vorteil ist zweifach: Erstens reduziert sich die Angriffsfläche unmittelbar, zweitens sinkt die Wahrscheinlichkeit, dass ähnliche Parserfehler in „selten genutzten“ Pfaden überhaupt jemals ausgenutzt werden. Damit lässt sich auch mittelfristig die Wahrscheinlichkeit künftiger Memory-Bugs senken, selbst wenn andere Komponenten weiterhin Bedarf an Hardening haben.
Mit Blick auf die Zukunft ist die wahrscheinlichste Entwicklung zweigeteilt. Kurzfristig werden Organisationen Squidbleed als Anlass nehmen, Proxy-Policies zu überprüfen und Fixes verlässlich zu verifizieren – inklusive Tests, die zeigen, dass die Guard-Bedingungen im Parser greifen. Mittel- bis langfristig könnte die Community stärker auf statische Analyse, Fuzzing und automatisierte Guard-Checks in Parsing-Subsystemen setzen, weil die Muster wiederkehren. Zudem zeigen Beispiele aus anderen Projekten, dass KI-gestützte Code-Review und Assistenztools zunehmend bei subtilen String-Edge-Cases helfen. Entscheidend bleibt jedoch: Selbst mit besseren Tools ist die beste Absicherung weiterhin die konsequente Reduktion unnötiger Protokolle und die saubere Trennung von Vertrauen innerhalb gemeinsamer Proxy-Setups.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Squidbleed: Heap-Over-Read im Squid-Proxy kann HTTP-Cleartext samt Tokens leaken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Squidbleed: Heap-Over-Read im Squid-Proxy kann HTTP-Cleartext samt Tokens leaken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Squidbleed: Heap-Over-Read im Squid-Proxy kann HTTP-Cleartext samt Tokens leaken« bei Google Deutschland suchen, bei Bing oder Google News!