Byl vydán nový release curl, nástroje a knihovny pro přenos dat přes síť. Během 25 let vývoje projektu bylo v curl realizováno mnoho síťových protokolů, jako jsou HTTP, Gopher, FTP, SMTP, IMAP, POP3, SMB a MQTT. Knihovnu libcurl používají důležité projekty pro komunitu jako Git a LibreOffice. Kód projektu je šířen pod licencí Curl (varianta MIT licence).
Tento release je zvláštní hned z dvou důvodů:
- byla přidána podpora protokolu IPFS;
- byla opravená nebezpečná zranitelnost v implementaci protokolu SOCKS5;
Zranitelnost byla zejména zdůrazněna autorem projektu, Danielem Stenbergem, jako „jedna z nejzávažnějších zranitelností v curl za dlouhou dobu“. Zranitelnost je způsobena chybou v logice navazování spojení s SOCKS5 proxy, což útočníkovi umožňuje přetečení bufferu a spuštění libovolného kódu na straně aplikace.
Chybu odhalil Jay Satirio v rámci programu The Internet Bug Bounty byla mu vyplacena odměna ve výši 4660 $.
Je třeba poznamenat, že Daniel aktivně pracuje na bezpečnostních otázkách a pracuje na implementaci HTTP protokolu do curl v jazyce Rust.
Zdroj: linux.org.ru
