Byla představena verze GNU Wget 1.25, programu pro automatizaci stahování souborů pomocí protokolů HTTP/HTTPS a FTP/FTPS. Nástroj podporuje funkce jako obnovení přerušených stahování, zrcadlení webových stránek s filtrováním stahovaných dat podle vzorů, převod odkazů v dokumentech, nastavení cookies a aktualizaci pouze změněných souborů. Kód projektu je napsán v jazyce C a je šířen pod licencí GPLv3.
V nové verzi:
- Byla přepracována analýza části URL s informacemi o uživatelském jménu (protocol://userinfo@host:port/path). Dříve wget při analýze userinfo nesprávně zpracovával znak „;“, což vedlo k zranitelnosti (CVE-2024-38428), protože část dat userinfo mohla být zpracována jako název hostitele. Například uživatelské jméno „attackerhost;“ v URL „ftp://attackerhost;@host“ vedlo k přístupu na hostitele „attackerhost“ místo „host“.
- Byla прекращена podpora zkráceného formátu URL odkazů na HTTP a FTP zdroje (bez jasného určení protokolu, například „wget username:password@myserver“), který byl dříve označen jako zastaralý a vedl k zranitelnosti CVE-2024-10524. Informace o zranitelnosti zatím nebyly zveřejněny, ale podle všeho se jedná o další variantu již zmíněného problému CVE-2024-38428.
- Čtení ze souborů a standardního vstupu (stdin) bylo převedeno na použití neblokujícího režimu. Změna umožňuje postupné předávání odkazů prostřednictvím vstupního proudu pomocí příkazu „print_urls | wget -i-“. Dříve wget četl existující data a ihned zavíral souborový popisovač.
Kromě toho lze zmínit uvedení nástroje pro získávání a zasílání dat po síti — curl 8.11.0, který umožňuje flexibilní formaci požadavku s nastavením takových parametrů, jako jsou cookies, user_agent, referer a jakékoli jiné hlavičky. cURL podporuje HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP a další síťové protokoly. Kód projektu je šířen pod licencí Curl (varianta licence MIT).
Mezi změnami v curl 8.11:
- Byla odstraněna zranitelnost (CVE-2024-9681), která umožňuje přístup k prostředku prostřednictvím protokolu http://, přestože existují pravidla HSTS (HTTP Strict Transport Security), která nařizují používání pouze protokolu HTTPS. Problém se projevuje při kontrole nad subdoménami napadeného hostitele. Například při žádosti o hostitele x.example.com může útočník manipulací s HTTP hlavičkou „Strict-Transport-Security:“ ovlivnit data v HSTS cache pro domény example.com.
- Byla oznámena stabilní podpora protokolu WebSocket.
- Byla přidána možnost použití režimu „—create-dirs“ spolu s opcí „—dump-header“.
- Do kryptobackendu založeného na GnuTLS byla přidána podpora certifikátů ve formátu P12.
- Při použití GnuTLS byla implementována podpora mechanismu Early Data, který umožňuje klientovi odesílat data před dokončením fáze vyjednávání spojení TLSv1.3.
- Bylo přidáno nastavení pro vypnutí protokolu IPFS.
- Pro GnuTLS a wolfSSL byla přidána podpora cache relací založených na protokolu QUIC.
- Byla přidána podpora dynamického zapnutí podpory TLS rozšíření ECH (Encrypted Client Hello), které je určeno k šifrování informací o parametrech TLS relací, jako je požadované doménové jméno.
- Byla přidána možnost společného používání možností „—show-headers“ a „—remote-header-name“, stejně jako použití možnosti „—skip-existing“ spolu s „—parallel“.
Daniel Stenberg, autor projektu curl, představil iniciativu pro udržení LTS verzí (Rock-solid), aktualizace s opravami závažných chyb a zranitelností, které budou vydávány po dobu minimálně 5 let. Prvním LTS projektem byla vyhlášena větev 8.9.x, pro kterou byla již vytvořena opravná verze 8.9.2 s odstraněním dvou zranitelností. Přístup k LTS aktualizacím mají pouze klienti, kteří uzavřeli smlouvu o podpoře.
Kód LTS verzí bude i nadále distribuován pod původní licencí Curl (varianta MIT), ale na zvláštní žádost bude možné poskytnout dodávku pod samostatnou komerční licencí. Získané prostředky budou použity na údržbu projektu a financování vývojářů. Nové LTS větve plánují vytvářet každých 8-24 měsíců. Použití LTS větve poskytne stabilní základnu, zbavenou pravděpodobnosti vzniku regresivních změn.
Zdroj: opennet.ru
