curl 8.20.0

Den 29. april, efter mere end en måneds udvikling, 521 commits og rettelse af 282 fejl, blev version 8.20.0 (274.) af det multiplatform konsolværktøj og bibliotek frigivet curl, skrevet i C og distribueret under licens curl.

Vigtige ændringer

Sikkerhed

Som nævnt før ("Høj kvalitet kaos"), har der for nylig været en betydelig stigning i antallet af rapporter om sikkerhedsproblemer. Denne gang er der offentliggjort information om otte nye sårbarheder i curl:

• CVE-2026-7168: lækage af autentificeringstilstand for Digest mellem proxier;
• CVE-2026-7009: omgåelse af OCSP-fastgørelse ved hjælp af Apple SecTrust;
• CVE-2026-6429: lækage af netrc-legitimationsoplysninger ved genbrug af proxiforbindelse;
• CVE-2026-6276: forældet vært for brugerdefinerede cookies førte til lækage;
• CVE-2026-6253: lækage af legitimationsoplysninger ved omdirigering til en proxy;
• CVE-2026-5773: forkert genbrug af SMB-forbindelse;
• CVE-2026-5545: forkert genbrug af HTTP Negotiate-forbindelse;
• CVE-2026-4873: krav til TLS blev ignoreret ved genbrug af forbindelse.

Andre ændringer

• der benyttes nu en trådpool og en kø til opløsning;
• NTLM er deaktiveret som standard;
• støtten til CMake 3.17 og ældre versioner er ophørt;
• støtten til c-ares biblioteket op til version 1.16.0 er ophørt;
• SMB er deaktiveret som standard;
• tilføjet flaget CURLMNWC_CLEAR_ALL for alle netværksændringer;
• støtten til RTMP er ophørt.

Næste planer for afvisninger

• lokale implementeringer af kryptografiske algoritmer;
• NTLM;
• SMB;
• støtte for TLS-SRP.

Hvis du har bekymringer om noget af det nævnte, så rapporter det hurtigst muligt til curl-repositoriet.

Kilde: linux.org.ru