curl 7.71.0 ተለቋል፣ ሁለት ድክመቶችን በማስተካከል

ይገኛል። በአውታረ መረቡ ላይ መረጃን ለመቀበል እና ለመላክ አዲስ የፍጆታ ስሪት - የ 7.71.0 ን ይዝጉእንደ ኩኪ፣ ተጠቃሚ_ኤጀንት፣ ሪፈር እና ሌሎች አርዕስቶች ያሉ መለኪያዎችን በመግለጽ ጥያቄን በተለዋዋጭ የመቅረጽ ችሎታን ይሰጣል። CURL HTTP፣ HTTPS፣ HTTP/2.0፣ HTTP/3፣ SMTP፣ IMAP፣ POP3፣ Telnet፣ FTP፣ LDAP፣ RTSP፣ RTMP እና ሌሎች የአውታረ መረብ ፕሮቶኮሎችን ይደግፋል። በተመሳሳይ ጊዜ፣ እንደ ሲ፣ ፐርል፣ ፒኤችፒ፣ ፓይዘን ባሉ ቋንቋዎች ውስጥ ያሉትን ሁሉንም የመጠቅለያ ተግባራት ለመጠቀም ኤፒአይ በመስጠት በትይዩ እየተገነባ ላለው የlibcurl ቤተ-መጽሐፍት ዝማኔ ተለቀቀ።

አዲሱ ልቀት ማናቸውም ስህተቶች ከተከሰቱ እንደገና ለመሞከር እና ሁለት ተጋላጭነቶችን ለማስተካከል የ"--ዳግም-ሁሉም-ስህተት" አማራጭን ይጨምራል።

• ተጋላጭነት CVE-2020-8177 በአጥቂው የሚቆጣጠረውን አገልጋይ ሲደርሱ በሲስተሙ ውስጥ ያለውን የአካባቢ ፋይል እንዲፅፉ ይፈቅድልዎታል ። ችግሩ የሚታየው “-J” (“–remote-header-name”) እና “-i” (“-head”) አማራጮች በአንድ ጊዜ ጥቅም ላይ ሲውሉ ብቻ ነው። የ "-J" አማራጭ ፋይሉን በርዕሱ ውስጥ በተጠቀሰው ስም እንዲያስቀምጡ ያስችልዎታል
  "ይዘት-አቀማመጥ". ተመሳሳይ ስም ያለው ፋይል ቀድሞውኑ ካለ ፣ የከርል ፕሮግራሙ በመደበኛነት እንደገና ለመፃፍ ፈቃደኛ አይሆንም ፣ ግን “-i” የሚለው አማራጭ ካለ ፣ የቼክ አመክንዮ ተሰብሯል እና ፋይሉ ተተካ (ቼኩ በደረጃው ላይ ይከናወናል) የምላሽ አካልን የመቀበል፣ ነገር ግን በ"-i" አማራጭ የኤችቲቲፒ አርዕስቶች መጀመሪያ ይታያሉ እና ምላሽ ሰጪ አካል መስራት ከመጀመሩ በፊት ለመዳን ጊዜ አላቸው። የኤችቲቲፒ ራስጌዎች ብቻ ናቸው ወደ ፋይሉ የተፃፉት ነገር ግን አገልጋዩ ከራስጌዎች ይልቅ የዘፈቀደ ውሂብ መላክ ይችላል እና ይፃፋሉ።

• ተጋላጭነት CVE-2020-8169 አንዳንድ የድረ-ገጹ መዳረሻ የይለፍ ቃሎች (መሰረታዊ፣ ዳይጀስት፣ NTLM፣ ወዘተ) ወደ ዲ ኤን ኤስ አገልጋይ እንዲፈስ ሊያደርግ ይችላል። በይለፍ ቃል ውስጥ የ"@" ምልክትን በመጠቀም፣ በዩአርኤል ውስጥም እንደ የይለፍ ቃል መለያ ሆኖ የሚያገለግለው፣ የኤችቲቲፒ ማዘዋወር ሲቀሰቀስ፣ curl ከ"@" ምልክቱ በኋላ የይለፍ ቃሉን ክፍል ከላኩ ጋር ይልካል። ስሙ. ለምሳሌ የይለፍ ቃል "passw@rd123" እና የተጠቃሚ ስም "ዳን" ካቀረብክ curl "https://dan:passw@" URL ያመነጫል.[ኢሜል የተጠበቀ]/ መንገድ" ከ "https://dan:passw%" ይልቅ[ኢሜል የተጠበቀ]/ መንገድ" እና አስተናጋጁን ለመፍታት ጥያቄ ይልካል "[ኢሜል የተጠበቀ]" በ"example.com" ፈንታ።

  ችግሩ የሚመጣው አንጻራዊ የኤችቲቲፒ ዳይሬክተሮች ድጋፍ ሲነቃ ነው (በCURLOPT_FOLLOWLOCATION በኩል ተሰናክሏል)። ባህላዊ ዲ ኤን ኤስ ጥቅም ላይ ከዋለ ፣ ስለ የይለፍ ቃሉ የተወሰነ መረጃ በዲ ኤን ኤስ አቅራቢው እና የመተላለፊያ አውታረ መረብ ትራፊክን የመጥለፍ ችሎታ ባለው አጥቂ (የመጀመሪያው ጥያቄ በ HTTPS ቢሆንም ፣ የዲ ኤን ኤስ ትራፊክ ስላልተመሰጠረ) ማግኘት ይቻላል ። ዲኤንኤስ-በላይ-ኤችቲቲፒኤስ (DoH) ጥቅም ላይ ሲውል፣ ፍንጣቂው በDoH ኦፕሬተር ላይ ብቻ ነው።

ምንጭ: opennet.ru