Излезе нова версия на curl, утилита и библиотека за предаване на данни по мрежата. През 25-годишното си развитие проектът curl е реализирал поддръжка на множество мрежови протоколи, включително HTTP, Gopher, FTP, SMTP, IMAP, POP3, SMB и MQTT. Библиотеката libcurl се използва от важни проекти за общността, като Git и LibreOffice. Кодът на проекта се разпространява под лиценз Curl (вариант на MIT лиценз).
Изданието е забележително по две причини:
- е добавена е добавена поддръжка на протокола IPFS;
- отстранен опасна уязвимост в изпълнението на протокола SOCKS5;
Уязвимостта беше специално отбелязана от автора на проекта, Даниел Стенберг, като «една от най-сериозните уязвимости в curl от дълго време». Уязвимостта е причинена от грешка в логиката на установяване на връзка с SOCKS5 прокси, позволяваща на атакуващия да прелее буфера и да изпълни произволен код от страната на приложението.
Грешката беше открита от Джея Сатиро в рамките на програмата The Internet Bug Bounty на него беше изплатена компенсация в размер на $4660.
Следва да се отбележи, че Даниел заема активна позиция по въпросите за сигурността и работи по внедряването в curl на реализация на протокола HTTP на езика Rust.
Източник: linux.org.ru
