curl 8.21.0

24. juuni, pärast pea kahte kuud arendust, 531 commit'i ja 276 vea parandamist, avaldati 8.21.0 (nr 275) platvormideülese mitme otstarbega konsooli utiliidi ja raamatukogu versioon. curl, kirjutatud keeles C ja jagatud litsentsi alusel curl.

Peamised muudatused

Turvalisus

• Keskmine tõsidusaste
  • CVE-2026-8925: topeltmälulevumine SASL;
  • CVE-2026-8927: autentimisoleku leke digesti vahel proxy-serverite env-set'is;
  • CVE-2026-9079: aegunud paroolide leke proxy-serverite jaoks;
  • CVE-2026-11856: autentimisoleku leke digesti vahel domeenide vahel.
• Madala tõsidusastmega
  • CVE-2026-8286: vale STARTTLS-i ühenduse korduvkasutamine;
  • CVE-2026-8458: vale korduvkasutamine erinevate teenuste jaoks;
  • CVE-2026-8924: nõrkus küpsiste analüüsi algoritmis, millega lõppdomeeniga punkt võimaldas pahatahtlikul HTTP-serveril seadistada 'super-küpsiseid', mis möödusid Public Suffix List'i kontrollist;
  • CVE-2026-8926: parooli leke netrc'i kasutamisel ja kasutajanime määramisel URL-is;
  • CVE-2026-8932: mTLS-i konfiguratsiooni puudulik vastavus ühenduse korduvkasutamisel;
  • CVE-2026-9080: mälu kasutamine pärast vabastamist socket'i tagasitõmbel;
  • CVE-2026-9545: varajaste HTTP/3 andmete avalikustamine (valikuga CURLSSLOPT_EARLYDATA);
  • CVE-2026-9546: vana suunamine saatmine;
  • CVE-2026-9547: vale hosti kontrollimine SSH kasutamisel;
  • CVE-2026-10536: mälu kasutamine pärast HTTP/2 voogude sõltuvuspuu vabastamist;
  • CVE-2026-11352: ooteahel QUIC-is null pikkusega UDP datagrammidega;
  • CVE-2026-11564: usaldusväärsuse säilitamine kohalikule sertifikaatide hoidmisele isegi pärast üleminekut kasutajapoolsetele sertifikaatidele;
  • CVE-2026-11586: WS Auto-PONG mälu ammendumine;
  • CVE-2026-12064: proto-default jättis SSH-i kontrollimise vahele.

Teised muudatused

• parendused nimetatud otsingumallides.Näidised:

curl "https://img.example/photo[<number>1-1000].jpg" -o "local-#<number>.jpeg"
curl "https://example.{<tld>org,com}/{<object>apples,mugs,coins}/img[<index>1-1000].jpg" -o "file-#<index>-#<tld>-#<object>"
curl -T "{<counter>one,two,three}.jpg" https://ul.example/ -o "save-#<counter>"
curl -T "{<counter>one,two,three}.jpg" https://{<host>ul1,ul2,ul3}.example/ -o "save-#<counter>-#<host>"

• toetuse lisamine CONNECT ja MASQUE CONNECT-UDP HTTP/3-proksile;
• HTTP/2 voogude sõltuvuste jälgimise eemaldamine;
• CURLAUTH_DIGEST_IE toe eemaldamine;
• hosti SHA256 avalike võtmete toe lisamine libssh'i kasutamisega.

Eelseisvad eemaldamised

• kohalikud rakendused krüptograafiliste algoritmide jaoks;
• NTLM, SMB ja TLS-SRP toe eemaldamine.

Allikas: linux.org.ru