Release of GNU Wget 1.25 has been announced, a program for automating file downloads using HTTP/HTTPS and FTP/FTPS protocols. The utility supports features such as resuming interrupted downloads, mirroring websites with filtering of downloaded data by patterns, converting links within documents, setting cookies, and updating only changed files. The project's code is written in C and is distributed under the GPLv3 license.
I den nye version:
- The parsing of part of the URL with user information (protocol://userinfo@host:port/path) has been rewritten. Previously, wget incorrectly processed the ';' character during userinfo parsing, leading to a vulnerability (CVE-2024-38428) because part of the userinfo data could be processed as a hostname. For example, the username 'attackerhost;' in the URL 'ftp://attackerhost;@host' led to a request to the host 'attackerhost' instead of 'host'.
- Support for shortened URL formats for HTTP and FTP resources (without explicit protocol indication, e.g., 'wget username:password@myserver'), which was previously deprecated, has been discontinued as it created a vulnerability CVE-2024-10524. Details about the vulnerability are currently undisclosed, but it seems to be one variant of the aforementioned CVE-2024-38428 issue.
- Reading from files and standard input (stdin) has been transitioned to a non-blocking mode. This change allows incremental transmission of links through the input stream using the command 'print_urls | wget -i-'. Previously, wget read existing data and immediately closed the file descriptor.
Additionally, the release of the utility for receiving and sending data over the network — curl 8.11.0 — has been noted, providing the ability to flexibly form requests by specifying parameters such as cookies, user_agent, referer, and any other headers. cURL supports HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP, and other network protocols. The project's code is distributed under the Curl license (a variant of the MIT license).
Among the changes in curl 8.11:
- Sårbarheden (CVE-2024-9681), der tillader adgang til ressourcen via http://, på trods af HSTS (HTTP Strict Transport Security) regler, der kræver kun brugen af HTTPS, er blevet udbedret. Problemet opstår, når der er kontrol over underdomæner på det angrebne host. For eksempel, ved en anmodning til hosten x.example.com, kan angriberen gennem manipulation med HTTP-headere "Strict-Transport-Security:" påvirke dataene i HSTS-cachen for domænet example.com.
- Den stabile understøttelse af WebSocket-protokollen er blevet annonceret.
- Muligheden for at bruge "--create-dirs"-tilstanden sammen med indstillingen "--dump-header" er blevet tilføjet.
- Understøttelse af certifikater i P12-format er blevet tilføjet til kryptobackend baseret på GnuTLS.
- Ved brug af GnuTLS er understøttelse af Early Data-mekanismen implementeret, hvilket giver klienten mulighed for at sende data før afslutningen af TLSv1.3-forbindelsesforhandlingen.
- En indstilling er blevet tilføjet for at deaktivere IPFS-protokollen.
- For GnuTLS og wolfSSL er understøttelse af session caching baseret på QUIC-protokollen blevet tilføjet.
- Understøttelse af dynamisk aktivering af TLS-udvidelsen ECH (Encrypted Client Hello), der er designet til at kryptere oplysninger om TLS-sessionparametre, såsom det anmodede domænenavn, er blevet tilføjet.
- Muligheden for at dele indstillingerne "--show-headers" og "--remote-header-name", samt brug af indstillingen "--skip-existing" sammen med "--parallel", er blevet tilføjet.
Daniel Stenberg, skaberen af curl-projektet, har præsenteret en initiativ til at vedligeholde LTS-udgivelser (Rock-solid), med opdateringer til rettelse af alvorlige fejl og sårbarheder, som vil blive offentliggjort i mindst 5 år. Den første LTS-projekt er erklæret som version 8.9.x, for hvilken der allerede er udgivet en korrektion version 8.9.2 med rettelse af to sårbarheder. Adgang til LTS-opdateringer gives kun til kunder, der har indgået en supportaftale.
Koden til LTS-udgaver forbliver under den tidligere Curl-licens (MIT-version), men der er mulighed for levering under en separat kommerciel licens efter anmodning. De indsamlede midler vil blive brugt til at vedligeholde projektet og finansiere udviklerne. Nye LTS-versioner planlægges skabt hver 8-24 måneder. Brug af LTS-versionen giver en stabil base, fri for risikoen for regressiv ændringer.
Kilde: opennet.ru
