curl versioon 7.71.0, mis on tõrjunud kahte haavatavust

Saadaolev uus versioon tööriistast andmete edastamiseks ja vastuvõtmiseks üle võrgu — curl 7.71.0, mis annab võimaluse paindlikult vormida päringut, määrates sellised parameetrid nagu cookie, user_agent, referer ja kõik teised pealkirjad. cURL toetab HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP ja teisi võrguprotokolle. Samuti ilmus paralleelselt uuendus paralleelselt arendatavale raamatukogule libcurl, mis pakub API-d, et kasutada kõiki cURLi funktsioone programmeerimiskeeltes nagu C, Perl, PHP, Python.

Uues väljalaskes on lisatud valik „—retry-all-errors”, et teha korduvaid katseid teostada toiminguid iga vea ilmnemisel ning kõrvaldatud on kaks haavatavust:

• Haavatavus CVE-2020-8177 lubab kirjutada üle kohaliku faili süsteemis, kui pääsete juurde ründaja kontrolli all olevale serverile. Probleem ilmneb ainult siis, kui kasutatakse korraga valikuid „-J” („—remote-header-name”) ja „-i” („—head”). Valik „-J” võimaldab salvestada faili nimega, mis on määratud pealkirjas
  „Content-Disposition”. Kui sellise nimega fail juba eksisteerib, keelab programm cURL tavaliselt üle kirjutamise, kuid kui on olemas valik „-i”, siis rikutakse kontrolli loogikat ja fail kirjutatakse üle (kontroll toimub vastuse keha saamise etapis, kuid valiku „-i” korral väljastatakse alguses HTTP-pealkirjad ja need jõuavad salvestuda enne keha töötlemise algust). Faili salvestatakse ainult HTTP-pealkirjad, kuid server võib saata pealkirjade asemel meelevaldseid andmeid ja need salvestatakse.
• Haavatavus CVE-2020-8169 võib viia DNS-serverisse juurdepääsupalvete, näiteks Basic, Digest, NTLM ja teiste, lekke tekkimiseni. Kui paroolis on kasutatud sümbolit „@”, mida kasutatakse ka parooli eraldajana URL-is, siis HTTP-ümbersuunamise korral saadab curl paroolist osa pärast sümbolit „@” koos domeeninimega määratlemiseks. Näiteks parooli „passw@rd123” ja kasutajanime „dan” määramisel genereerib curl URL-i „https://dan:passw@rd123@example.com/path” asemel „https://dan:passwrd123@example.com/path” ning saadab päringu hosti „rd123@example.com” resolvimiseks, mitte „example.com”.

  Probleem ilmneb, kui sisselülitatakse suhteliste HTTP-ümber suunamiste tugi (väljalülitatud CURLOPT_FOLLOWLOCATION kaudu). Traditsiooniliste DNS-ide kasutamisel võib DNS-i pakkuja ja ründaja, kellel on võimalus vahetult võrguühendust jälgida, teada saada osa paroolist (isegi kui algne päring oli HTTPS-i kaudu, kuna DNS-i liiklus ei ole krüpteeritud). DNS-over-HTTPS (DoH) kasutamisel piiratakse lekkeid DoH-teenuse pakkujaga.

Allikas: opennet.ru