Saadaval on utiliidid wget 1.25 ja Curl 8.11. Esitatakse tasulised LTS-väljaanded Curl'ist

Esitati GNU Wget 1.25 väljaanne, faili allalaadimise automatiseerimise programm, mis toetab protokolle HTTP/HTTPS ja FTP/FTPS. Tööriist toetab selliseid võimalusi nagu katkestatud allalaadimiste taastamine, veebisaitide peegeldamine allalaadimise andmete filtreerimisega maskide järgi, linkide muutmine dokumentides, küpsiste seadmine ja ainult muudetud failide värskendamine. Projekti kood on kirjutatud C keeles ja levitatakse GPLv3 litsentsi alusel.

Uues versioonis:

• URL-i osa, mis sisaldab kasutajanime (protocol://userinfo@host:port/path), on üle kirjutatud. Varasemalt töötlemas wget userinfo vale sümboli ';' korral, mis põhjustas haavatavuse (CVE-2024-38428), kuna userinfo andmed võidi töödelda kui hosti nimi. Näiteks kasutajanimi 'attackerhost;' URL-is 'ftp://attackerhost;@host' viis ühendamiseni hostiga 'attackerhost' selle asemel, et 'host'.
• Toetuse lõpetamine lühikeseks formaatideks HTTP- ja FTP-ressursside URL-i linkides (ilma protokolli selge määratlemiseta, näiteks 'wget username:password@myserver'), mis oli varem deklareeritud aegunuks ja põhjustas haavatavuse CVE-2024-10524. Haavatavuse kohta teavet ei avaldata, kuid tundub, et see on seotud eelpool mainitud probleemiga CVE-2024-38428.
• Failidest ja standardsest voost (stdin) lugemine on muudetud mitteblokeerivaks režiimiks. Muudatus võimaldab järk-järgult edastada voos linke, kasutades käsku 'print_urls | wget -i-'. Varasemalt luges wget olemasolevaid andmeid ja sulges kohe faili descriptor.

Lisaks on välja antud utiliit andmete saadmiseks ja saatmiseks üle võrgu — curl 8.11.0, mis võimaldab paindlikku päringu koostamist, määrates selliseid parameetreid nagu küpsised, kasutaja_agent, suunaja ja muud päised. cURL toetab HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP ja teisi võrguprotokolle. Projekti kood levitatakse Curl litsentsi (MIT litsentsi variandi) alusel.

Curl 8.11 muudatuste seas:

• Parandatud nõrkus (CVE-2024-9681), mis võimaldab pääseda ressurssidele http:// protokolli kaudu, hoolimata HSTS (HTTP Range Transport Security) reeglitest, mis kindlasti nõuavad HTTPS-i kasutamist. Probleem ilmneb ründaja kontrolli all olevate alamdomeenide korral ründatava hosti puhul. Näiteks, kui paluda hostilt x.example.com, võib ründaja segada HTTP-pealkirjaga „Strict-Transport-Security:” HSTS andmeid puhversaldes. domeen example.com.
• Avalikustatud WebSocket protokolli stabiilne tugi.
• Pakutud on võimalus kasutada režiimi „—create-dirs” koos valikuga „—dump-header”.
• GnuTLS-põhises krüptokäitlejas on lisatud toete P12 formaadis sertifikaatidele.
• GnuTLS kasutamisel on rakendatud Early Data mehhanismi tugi, mis võimaldab kliendil saata andmeid enne TLSv1.3 ühenduse loomise etapi lõpetamist.
• Lisatud on seade IPFS protokolli keelamiseks.
• GnuTLS ja wolfSSL jaoks on lisatud QUIC protokolli põhjal sessioonide vahemälu tugi.
• Lisatud on dünaamilise TLS-laienduse ECH (Encrypted Client Hello) toe aktiveerimise tugi, mis on mõeldud TLS-seansside parameetrite, näiteks nõutava domeeninime, teabe krüpteerimiseks.
• On lisatud võimalus koos kasutada valikuid „—show-headers” ja „—remote-header-name”, samuti valikut „—skip-existing” koos „—parallel”.

Daniel Stenberg, curl projekti autor, esitas algatuse LTS-väljaannete (Rock-solid) toetamiseks, mille jaoks avaldatakse tõsiste vigade ja nõrkuste paranduste uuendused vähemalt 5 aasta jooksul. Esimene LTS-projekt on kuulutatud haru 8.9.x, mille jaoks on juba loodud parandav väljaanne 8.9.2 kahe nõrkuse kõrvaldamiseks. LTS-uudistele pääsevad ainult kliendid, kes on sõlminud toetuse lepingu.

LTS-väljaannete kood jagatakse endiselt Curl varasema litsentsi (MIT variant) alusel, kuid eraldi taotluse alusel on võimalik tarnida ka eraldi kommertslitsentsi alusel. Saadud rahalised vahendid suunatakse projekti toetamiseks ja arendajate rahastamiseks. Uued LTS-harud kavatsetakse luua iga 8-24 kuu tagant. LTS-haru kasutamine võimaldab saada stabiilse aluse, mis on vaba regressioonimuutuste tekkimise tõenäolus.

Allikas: opennet.ru