curl versioon 7.71.0, mis on tõrjunud kahte haavatavust

Saadaolev uus versioon tööriistast andmete edastamiseks ja vastuvõtmiseks üle võrgu — curl 7.71.0, mis annab võimaluse paindlikult vormida päringut, määrates sellised parameetrid nagu cookie, user_agent, referer ja kõik teised pealkirjad. cURL toetab HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP ja teisi võrguprotokolle. Samuti ilmus paralleelselt uuendus paralleelselt arendatavale raamatukogule libcurl, mis pakub API-d, et kasutada kõiki cURLi funktsioone programmeerimiskeeltes nagu C, Perl, PHP, Python.

Uues väljalaskes on lisatud valik „—retry-all-errors”, et teha korduvaid katseid teostada toiminguid iga vea ilmnemisel ning kõrvaldatud on kaks haavatavust:

• Haavatavus CVE-2020-8177 lubab kirjutada üle kohaliku faili süsteemis, kui pääsete juurde ründaja kontrolli all olevale serverile. Probleem ilmneb ainult siis, kui kasutatakse korraga valikuid „-J” („—remote-header-name”) ja „-i” („—head”). Valik „-J” võimaldab salvestada faili nimega, mis on määratud pealkirjas
  „Content-Disposition”. Kui sellise nimega fail juba eksisteerib, keelab programm cURL tavaliselt üle kirjutamise, kuid kui on olemas valik „-i”, siis rikutakse kontrolli loogikat ja fail kirjutatakse üle (kontroll toimub vastuse keha saamise etapis, kuid valiku „-i” korral väljastatakse alguses HTTP-pealkirjad ja need jõuavad salvestuda enne keha töötlemise algust). Faili salvestatakse ainult HTTP-pealkirjad, kuid server võib saata pealkirjade asemel meelevaldseid andmeid ja need salvestatakse.
• Haavatavus CVE-2020-8169 võib põhjustada DNS-serverile juurdepääsu saitide paroolidest (Basic, Digest, NTLM jne). Kui paroolis kasutatakse sümbolit «@», mis on samuti parooli eraldajana URL-is, siis HTTP-ümbersuunamise aktiveerimisel saadab curl osa paroolist pärast sümbolit «@» koos domeeniga nime määramiseks. Näiteks, kui parool on «passw@rd123» ja kasutajanimi on «dan», genereerib curl URL-i «https://dan:passw@rd123@example.com/path» selle asemel, et luua URL «https://dan:passwrd123@example.com/path» ja saadab päringu hostinime «rd123@example.com» määramiseks selle asemel, et kasutada «example.com».

  Probleem ilmneb, kui sisselülitatakse suhteliste HTTP-ümber suunamiste tugi (väljalülitatud CURLOPT_FOLLOWLOCATION kaudu). Traditsiooniliste DNS-ide kasutamisel võib DNS-i pakkuja ja ründaja, kellel on võimalus vahetult võrguühendust jälgida, teada saada osa paroolist (isegi kui algne päring oli HTTPS-i kaudu, kuna DNS-i liiklus ei ole krüpteeritud). DNS-over-HTTPS (DoH) kasutamisel piiratakse lekkeid DoH-teenuse pakkujaga.

Allikas: opennet.ru