{"id":120555,"date":"2024-11-12T13:09:16","date_gmt":"2024-11-12T11:09:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl"},"modified":"2024-11-12T13:09:16","modified_gmt":"2024-11-12T11:09:16","slug":"dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl","title":{"rendered":"Die Tools wget 1.25 und Curl 8.11 sind verf\u00fcgbar. Es werden kostenpflichtige LTS-Versionen von Curl angeboten.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung von GNU Wget 1.25, einem Programm zum Automatisieren des Herunterladens von Dateien unter Verwendung von HTTP\/HTTPS- und FTP\/FTPS-Protokollen, wurde vorgestellt. Das Tool unterst\u00fctzt Funktionen wie das Fortsetzen abgebrochener Downloads, das Spiegeln von Websites mit einer Filterung der heruntergeladenen Daten nach Masken, das Umwandeln von Links innerhalb von Dokumenten, das Setzen von Cookies und das Aktualisieren nur ge\u00e4nderter Dateien. Der Projektcode ist in C geschrieben und wird unter der GPLv3-Lizenz vertrieben. <\/p>\n
In der neuen Version: <\/p>\n
\n
Die Analyse des Teils der URL mit Informationen zum Benutzernamen wurde \u00fcberarbeitet (protocol:\/\/userinfo@host:port\/path). Zuvor verarbeitete wget bei der Analyse des userinfo-Teils das Zeichen «;» falsch, was zu einer Sicherheitsanf\u00e4lligkeit (CVE-2024-38428) f\u00fchrte, da Teile der userinfo-Daten als Hostname behandelt werden konnten. Beispielsweise f\u00fchrte der Benutzername «attackerhost;» in der URL «ftp:\/\/attackerhost;@host» dazu, dass der Host «attackerhost» angesprochen wurde, anstatt «host».\n
Die Unterst\u00fctzung des verk\u00fcrzten URL-Formats f\u00fcr HTTP- und FTP-Ressourcen (ohne explizite Protokollangabe, z. B. «wget username:password@myserver») wurde eingestellt, welches zuvor als veraltet galt und zu einer Sicherheitsanf\u00e4lligkeit CVE-2024-10524 f\u00fchrte. Informationen \u00fcber die Sicherheitsanf\u00e4lligkeit werden bisher nicht ver\u00f6ffentlicht, aber anscheinend handelt es sich um eine der Varianten des oben genannten Problems CVE-2024-38428.\n
Das Lesen von Dateien und dem Standardstrom (stdin) wurde auf den nicht blockierenden Modus umgestellt. Diese \u00c4nderung erlaubt es, schrittweise Links \u00fcber den Eingabestrom zu \u00fcbergeben, indem der Befehl «print_urls | wget -i-« verwendet wird. Zuvor las wget die verf\u00fcgbaren Daten und schloss sofort den Datei-Deskriptor. <\/ul>\n
Dar\u00fcber hinaus wurde das Tool f\u00fcr den Datenabruf und -versand \u00fcber das Netzwerk - curl 8.11.0 ver\u00f6ffentlicht, das die flexible Erstellung von Anfragen erm\u00f6glicht, einschlie\u00dflich solcher Parameter wie Cookies, user_agent, Referer und anderer Header. cURL unterst\u00fctzt HTTP, HTTPS, HTTP\/2.0, HTTP\/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP und andere Netzwerkprotokolle. Der Quellcode des Projekts wird unter der Curl-Lizenz (eine Variante der MIT-Lizenz) ver\u00f6ffentlicht. <\/p>\n
Zu den \u00c4nderungen in curl 8.11 geh\u00f6ren: <\/p>\n
\n
Eine Sicherheitsanf\u00e4lligkeit (CVE-2024-9681) wurde behoben, die es erm\u00f6glichte, auf Ressourcen \u00fcber das Protokoll http:\/\/ zuzugreifen, trotz der bestehenden HSTS-Regeln (HTTP Strict Transport Security), die die ausschlie\u00dfliche Verwendung von HTTPS vorschreiben. Das Problem tritt auf, wenn Kontrolle \u00fcber Subdomains des angegriffenen Hosts besteht. Beispielsweise kann ein Angreifer durch Manipulation des HTTP-Headers «Strict-Transport-Security:» die im HSTS-Cache gespeicherten Daten beeinflussen. der Domain unterscheiden, gesetzt werden.<\/a> example.com beeinflussen.\n