Saadaval on utiliidid wget 1.25 ja Curl 8.11. Ette on nähtud tasulised LTS versioonid Curl.

Esitatud on GNU Wget 1.25 väljaanne, programm failide automaatseks allalaadimiseks HTTP/HTTPS ja FTP/FTPS protokollide abil. Utiliit toetab selliseid funktsioone nagu katkestatud allalaadimiste jätkamine, veebilehtede peegeldamine andmete filtreerimisega vastavalt mustritele, linkide muutmine dokumentides, küpsiste seadmine ja ainult muudetud failide värskendamine. Projekti kood on kirjutatud C keeles ja levitatakse GPLv3 litsentsi alusel.

Uues versioonis:

• URL-i osa, mis sisaldab kasutajanime (protocol://userinfo@host:port/path), analüüs on ümber kirjutatud. Varem töötles wget userinfo analüüsi ajal vale märki „;”, mis viis haavatavuseni (CVE-2024-38428), kuna osa userinfo andmeid võidi töödelda kui hosti nimi. Näiteks kasutas kasutajanime „attackerhost;” URL-is „ftp://attackerhost;@host” viibimine hostile „attackerhost” pöördumise asemel „host”.
• Toetamine HTTP- ja FTP-resursside lühendatud URL-linkide formaadi jaoks lõpetati (ilma protokolli selge määramiseta, näiteks "wget username:password@myserver"), mis varem kuulutati vananenuks ja põhjustas haavatavuse CVE-2024-10524. Haavatavuse kohta teave ei ole veel avalikustatud, kuid ilmselt on see üks variatsioon eelpoolmainitud probleemist CVE-2024-38428.
• Failidest ja standardvoost (stdin) lugemine on ülemineku saanud mittesüntakserežiimile. Muudatus võimaldab järkjärgulist linkide edastamist sisendvoo kaudu, kasutades käsku "print_urls | wget -i-". Varem luges wget olemasolevaid andmeid ja sulges kohe failide deskriptorid.

Lisaks võib märkida, et välja anti utiliit andmete võtmise ja edastamise jaoks — curl 8.11.0, mis võimaldab paindliku päringu koostamist, määrates selliseid parameetreid nagu cookie, user_agent, referer ja igasuguseid muid pealkirju. cURL toetab HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP ja teisi võrguprotokolle. Projekti kood levitatakse Curl litsentsi alusel (MIT litsentsi variant).

curl 8.11 muudatuste seas:

• Parandatud haavatavus (CVE-2024-9681), mis võimaldab suunata ressursile http:// protokolli kaudu, hoolimata HSTS (HTTP Strict Transport Security) reeglitest, mis määravad kasutamiseks ainult HTTPS-i. Probleem ilmneb, kui ründajal on kontroll rünnatava hosti alamdomaine üle. Näiteks hosti x.example.com korral võib ründaja manipuleerida HTTP-pealkirjaga „Strict-Transport-Security:” mõjutades HSTS vahemälu andmeid. domeeni example.com.
• WebSocket protokolli stabiliseeritud toetus kuulutati välja.
• Lisatud on võimalus kasutada „—create-dirs” režiimi koos „—dump-header” valikuga.
• GnuTLS baasil krüpto tagavarasse on lisatud toetus P12 formaadis sertifikaatidele.
• GnuTLS kasutamisel on rakendatud Early Data mehhanismi toetus, mis võimaldab kliendil saata andmeid enne TLSv1.3 ühenduse seadistamise etapi lõpetamist.
• Lisatud seade IPFS protokolli keelamiseks.
• GnuTLS ja wolfSSL-i jaoks on lisatud sessioonide vahemälustamise tugi QUIC protokolli baasil.
• Lisatud dünaamiline toetus TLS laienduse ECH (Encrypted Client Hello) aktiveerimiseks, mis mõeldud TLS sessioonide parameetrite, nagu küsitud domeeninime, teabe krüpteerimiseks.
• Lisaud võimalus jagada valikute "—show-headers" ja "—remote-header-name" kombinatsiooni ning kasutada valikut "—skip-existing" koos "—parallel".

Daniel Stenberg, curl projekti autor, tutvustas algatust LTS-väljaannete toetuse tagamiseks (Rock-solid), mille raames avaldatakse kriitiliste vigade ja haavatavuste parandusi vähemalt 5 aasta jooksul. Esimene LTS-projekt on kuulutatud väljaanne 8.9.x, mille jaoks on juba välja antud parandav versioon 8.9.2 kaheteistkümne haavatavuse kõrvaldamiseks. LTS-uudised on saadaval ainult toetuselepingu sõlminud klientidele.

LTS-väljaannete kood jääb kehtima varasema Curl litsentsi (MIT variandi) all, kuid eraldi taotluse korral on võimalik seda hankida ka eraldi ärilises litsentsis. Saadud vahendeid kasutatakse projekti hooldamiseks ja arendajate rahastamiseks. Uute LTS-harusid plaanitakse luua iga 8-24 kuu tagant. LTS-haru kasutamine annab võimaluse stabiilse aluse saamiseks, mis on vaba regressiivsete muudatuste tekkimise tõenäosusest.

Allikas: opennet.ru