{"id":120555,"date":"2024-11-12T13:09:16","date_gmt":"2024-11-12T11:09:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl"},"modified":"2024-11-12T13:09:16","modified_gmt":"2024-11-12T11:09:16","slug":"dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl","title":{"rendered":"Die Tools wget 1.25 und Curl 8.11 stehen zur Verf\u00fcgung. Es werden kostenpflichtige LTS-Versionen von Curl angeboten.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung von GNU Wget 1.25 ist jetzt verf\u00fcgbar, ein Programm zur Automatisierung des Herunterladens von Dateien \u00fcber die Protokolle HTTP\/HTTPS und FTP\/FTPS. Die Utility unterst\u00fctzt Funktionen wie das Wiederaufnehmen unterbrochener Downloads, das Spiegeln von Websites mit Filterung der heruntergeladenen Daten \u00fcber Masken, die Umwandlung von Links innerhalb von Dokumenten, das Setzen von Cookies und das Aktualisieren nur ge\u00e4nderter Dateien. Der Code des Projekts ist in C geschrieben und wird unter der Lizenz GPLv3 verbreitet. <\/p>\n
In der neuen Version: <\/p>\n
\n
Die Analyse des URL-Teils mit Benutzernameninformationen (protocol:\/\/userinfo@host:port\/path) wurde \u00fcberarbeitet. Zuvor hatte wget bei der Analyse von userinfo das Zeichen \u00ab;\u00bb falsch verarbeitet, was zu einer Sicherheitsanf\u00e4lligkeit (CVE-2024-38428) f\u00fchrte, da ein Teil der userinfo-Daten als Hostname interpretiert werden konnte. Zum Beispiel f\u00fchrte der Benutzername \u00abattackerhost\u00bb in der URL \u00abftp:\/\/attackerhost;@host\u00bb zu einem Zugriff auf den Host \u00abattackerhost\u00bb, anstelle von \u00abhost\u00bb.\n
Die Unterst\u00fctzung des verk\u00fcrzten Formats von URL-Links zu HTTP- und FTP-Ressourcen (ohne ausdr\u00fcckliche Angabe des Protokolls, wie z.B. \u00abwget username:password@myserver\u00bb), das zuvor als veraltet erkl\u00e4rt wurde, wurde eingestellt, da es zu einer Sicherheitsanf\u00e4lligkeit CVE-2024-10524 f\u00fchrte. Informationen zur Sicherheitsanf\u00e4lligkeit sind derzeit nicht verf\u00fcgbar, aber es scheint, dass sie eine der Varianten des zuvor erw\u00e4hnten Problems CVE-2024-38428 ist.\n
Das Lesen von Dateien und dem Standard-Stream (stdin) wurde auf den nicht blockierenden Modus umgestellt. Diese \u00c4nderung erm\u00f6glicht die schrittweise \u00dcbertragung von Links durch den Eingabestrom, indem der Befehl \u00abprint_urls | wget -i-\u00bb verwendet wird. Zuvor las wget die vorhandenen Daten und schloss sofort den Dateideskriptor. <\/ul>\n
Zus\u00e4tzlich wurde das Tool zum Abrufen und Versenden von Daten \u00fcber das Netzwerk \u2014 curl 8.11.0 \u2014 ver\u00f6ffentlicht, das die flexible Erstellung von Anfragen mit Parametern wie Cookie, user_agent, referer und anderen Headers erm\u00f6glicht. cURL unterst\u00fctzt HTTP, HTTPS, HTTP\/2.0, HTTP\/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP und andere Netzwerkprotokolle. Der Projektcode wird unter der Curl-Lizenz (eine Variante der MIT-Lizenz) verteilt. <\/p>\n
Zu den \u00c4nderungen in curl 8.11: <\/p>\n
\n
Eine Sicherheitsanf\u00e4lligkeit (CVE-2024-9681) wurde behoben, die die M\u00f6glichkeit er\u00f6ffnet, auf Ressourcen \u00fcber das Protokoll http:\/\/ zuzugreifen, obwohl HSTS-Regeln (HTTP Strict Transport Security) vorschreiben, dass nur HTTPS verwendet werden darf. Das Problem tritt auf, wenn Kontrolle \u00fcber Subdomains des angegriffenen Hosts besteht. Zum Beispiel kann ein Angreifer bei einer Anfrage an den Host x.example.com durch Manipulation des HTTP-Headers \u201eStrict-Transport-Security:\u201c die Daten im HSTS-Cache beeinflussen. Nach Abschluss des Transfers kann die Domain auf unser Hosting gerichtet werden.<\/a> example.com.\n