Die Tools wget 1.25 und Curl 8.11 sind verfügbar. Es werden kostenpflichtige LTS-Versionen von Curl angeboten.

Die Veröffentlichung von GNU Wget 1.25, einem Programm zum Automatisieren des Herunterladens von Dateien unter Verwendung von HTTP/HTTPS- und FTP/FTPS-Protokollen, wurde vorgestellt. Das Tool unterstützt Funktionen wie das Fortsetzen abgebrochener Downloads, das Spiegeln von Websites mit einer Filterung der heruntergeladenen Daten nach Masken, das Umwandeln von Links innerhalb von Dokumenten, das Setzen von Cookies und das Aktualisieren nur geänderter Dateien. Der Projektcode ist in C geschrieben und wird unter der GPLv3-Lizenz vertrieben.

In der neuen Version:

• Der Parser für einen Teil der URL mit Benutzerinformationsdaten (protocol://userinfo@host:port/path) wurde überarbeitet. Zuvor behandelte wget das Symbol „;“ beim Parsen von userinfo nicht korrekt, was zu einer Sicherheitsanfälligkeit (CVE-2024-38428) führte, da Teile der userinfo-Daten fälschlicherweise als Hostname interpretiert werden konnten. Beispielsweise führte der Benutzername „attackerhost;“ in der URL „ftp://attackerhost;@host“ zu einer Verbindung zum Host „attackerhost“ anstelle von „host“.
• Die Unterstützung des verkürzten Formats von URL-Links zu HTTP- und FTP-Ressourcen (ohne explizite Angabe des Protokolls, z.B. „wget username:password@myserver“), welches zuvor als veraltet erklärt wurde und zu einer Sicherheitsanfälligkeit (CVE-2024-10524) führte, wurde eingestellt. Informationen über die Schwachstelle sind derzeit nicht bekannt, aber offensichtlich handelt es sich hierbei um eine Variante des zuvor erwähnten Problems CVE-2024-38428.
• Das Lesen von Dateien und vom Standardstrom (stdin) wurde so umgestellt, dass der nicht blockierende Modus verwendet wird. Diese Änderung ermöglicht es, Links schrittweise über den Eingabestrom zu übergeben, indem der Befehl „print_urls | wget -i-“ verwendet wird. Früher las wget die verfügbaren Daten und schloss sofort den Dateideskriptor.

Darüber hinaus kann die Veröffentlichung des Programms für den Empfang und das Senden von Daten über das Netzwerk – curl 8.11.0 – erwähnt werden, das die flexible Erstellung von Anfragen mit der Angabe von Parametern wie Cookies, user_agent, referer und anderen Headern ermöglicht. cURL unterstützt HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP und andere Netzwerkprotokolle. Der Projektcode wird unter der Curl-Lizenz (eine Variante der MIT-Lizenz) vertrieben.

Zu den Änderungen in curl 8.11 gehören:

• Die Schwachstelle (CVE-2024-9681) wurde behoben, die es ermöglicht, auf Ressourcen über das Protokoll http:// zuzugreifen, trotz bestehender HSTS-Regeln (HTTP Strict Transport Security), die nur die Verwendung von HTTPS vorschreiben. Das Problem tritt auf, wenn Kontrolle über die Subdomains des angegriffenen Hosts besteht. Beispielsweise kann ein Angreifer bei einer Anfrage an den Host x.example.com durch Manipulation des HTTP-Headers „Strict-Transport-Security:“ die Daten im HSTS-Cache für der Domain unterscheiden, gesetzt werden. example.com beeinflussen.
• Die stabile Unterstützung des WebSocket-Protokolls wurde angekündigt.
• Es besteht die Möglichkeit, den Modus „—create-dirs“ zusammen mit der Option „—dump-header“ zu verwenden.
• Im Krypto-Backend basierend auf GnuTLS wurde die Unterstützung für P12-Zertifikate hinzugefügt.
• Bei der Verwendung von GnuTLS wurde die Unterstützung für den Mechanismus Early Data implementiert, der es dem Client ermöglicht, Daten vor Abschluss der TLSv1.3-Verhandlung zu senden.
• Eine Einstellung zum Deaktivieren des IPFS-Protokolls wurde hinzugefügt.
• Für GnuTLS und wolfSSL wurde die Unterstützung für das Caching von Sitzungen auf Basis des QUIC-Protokolls hinzugefügt.
• Die Unterstützung für die dynamische Aktivierung der Unterstützung des TLS-Erweiterung ECH (Encrypted Client Hello), die zur Verschlüsselung von Informationen über TLS-Sitzungseinstellungen wie den angeforderten Domainnamen dient, wurde hinzugefügt.
• Die Möglichkeit, die Optionen „—show-headers“ und „—remote-header-name“ gemeinsam zu verwenden sowie die Option „—skip-existing“ zusammen mit „—parallel“ zu nutzen, wurde hinzugefügt.

Daniel Stenberg, der Autor des curl-Projekts, hat eine Initiative zur Unterstützung von LTS-Releases (Rock-solid) vorgestellt, bei denen Updates zur Behebung schwerwiegender Fehler und Schwachstellen mindestens fünf Jahre lang veröffentlicht werden. Das erste LTS-Projekt ist der Branch 8.9.x, für den bereits ein Korrekturrelease 8.9.2 mit der Behebung von zwei Schwachstellen erstellt wurde. Der Zugang zu LTS-Updates wird nur Kunden gewährt, die einen Supportvertrag abgeschlossen haben.

Der Code der LTS-Releases wird weiterhin unter der bisherigen Curl-Lizenz (MIT-Variante) verbreitet, jedoch besteht auf Anfrage die Möglichkeit, unter einer separaten kommerziellen Lizenz zu liefern. Die erzielten Mittel werden zur Unterstützung des Projekts und zur Finanzierung von Entwicklern verwendet. Neue LTS-Branches sollen alle 8-24 Monate gebildet werden. Die Verwendung des LTS-Branches ermöglicht eine stabile Basis, die frei von der Wahrscheinlichkeit regressiver Änderungen ist.

Quelle: opennet.ru