Curl versioon 7.71.0 kahe haavatavuse kõrvaldamisega

Saadaval uue versioon võrgus andmete edastamiseks ja vastuvõtmiseks — curl 7.71.0, mis annab võimaluse paindlikuks päringu koostamiseks, määrates sellised parameetrid nagu cookie, user_agent, referer ja kõik muud päised. cURL toetab HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP ja teisi võrguprotokolle. Samal ajal ilmus uuendus samaaegselt arendatavale raamatukogule libcurl, mis pakub API-d kõikide curl'i funktsioonide kasutamiseks keeles nagu C, Perl, PHP, Python.

Uues väljaandes on lisatud valik „—retry-all-errors“, et teha lähenemisviise operatsioonide kordamiseks, kui tekivad kõik vead, ja kõrvaldatud on kaks haavatavust:

• Haavatavus CVE-2020-8177 mis võimaldab kirjutada üle kohaliku faili süsteemis, kui suhelda ründaja kontrolli all oleva serveriga. Probleem ilmneb ainult siis, kui samaaegselt kasutatakse valikuid „-J“ („—remote-header-name“) ja „-i“ („—head“). Valik „-J“ võimaldab faili salvestada nimega, mis on määratud päistes.
  «Content-Disposition». Kui sellise nimega fail on juba olemas, keeldub programm curl tavaliselt selle üle kirjutamast, kuid kui on olemas võimalus «-i», siis rikutakse kontrollimise loogikat ja fail kirjutatakse üle (kontroll toimub vastuse keha saamise etapis, kuid võimaluse «-i» korral kuvatakse alguses HTTP-pealkirjad ja need jõuavad salvestuda enne vastuse keha töötlemise algust). Faili kirjutatakse ainult HTTP-pealkirjad, kuid server võib anda muude andmete asemel pealkirjad ja need salvestatakse.
• Haavatavus CVE-2020-8169 võib põhjustada DNS-serveri osade paroolide lekkimist (Basic, Digest, NTLM jne). Kui parool sisaldab sümbolit „@”, mis kasutatakse ka parooli eraldajana URL-is, siis HTTP-ümbersuunamise korral saadab curl parooli osa pärast sümbolit „@” koos domeeniga nime määramiseks. Näiteks, kui parool on „passw@rd123” ja kasutajanimi on „dan”, genereerib curl URL-i „https://dan:passw@rd123@example.com/path” selle asemel, et oleks „https://dan:passwrd123@example.com/path” ja saadab päringu hosti lahendamiseks „rd123@example.com” asemel „example.com”.

  Probleem ilmneb suhteliste HTTP suunamiste toe aktiveerimisel (deaktiveeritakse CURLOPT_FOLLOWLOCATION kaudu). Traditsiooniliste DNS-idega kasutamisel võib DNS-i teenusepakkuja ja ründaja, kellel on juurdepääs võrgu liiklusele, osalise parooli teabe paljastada, isegi kui algne päring oli HTTPS-i kaudu, sest DNS-i liiklus ei ole krüpteeritud. DNS-over-HTTPS (DoH) kasutamisel on lekke ulatus piiratud DoH operaatoriga.

Allikas: opennet.ru