utiliidi uus versioon andmete võrgu kaudu vastuvõtmiseks ja saatmiseks - , mis annab võimaluse taotlust paindlikult sõnastada, määrates parameetrid, nagu küpsis, kasutajaagent, viitaja ja muud päised. cURL toetab HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, Telneti, FTP, LDAP, RTSP, RTMP ja muid võrguprotokolle. Samal ajal ilmus värskendus paralleelselt arendatavale libcurli teegile, mis pakub API-d kõigi curl-funktsioonide kasutamiseks sellistes keeltes nagu C, Perl, PHP, Python.
Uus versioon lisab suvandi "--retry-all-errors", et tõrke korral toiminguid uuesti proovida, ja parandab kaks haavatavust.
- võimaldab teil ründaja kontrollitavale serverile juurdepääsul süsteemis kohaliku faili üle kirjutada. Probleem ilmneb ainult siis, kui suvandeid "-J" ("-remote-header-name") ja "-i" ("-head") kasutatakse samaaegselt. Valik "-J" võimaldab salvestada faili päises määratud nimega
"Sisu paigutus". Kui samanimeline fail on juba olemas, keeldub curl programm tavaliselt ülekirjutamisest, kuid kui on olemas suvand “-i”, siis kontrolli loogika rikutakse ja fail kirjutatakse üle (kontroll viiakse läbi etapis vastuse keha kättesaamisest, kuid valikuga "-i" kuvatakse HTTP-päised esimesena ja neil on aega salvestada, enne kui vastuse keha hakatakse töötlema). Faili kirjutatakse ainult HTTP-päised, kuid server võib päiste asemel saata suvalisi andmeid ja need kirjutatakse. - võib põhjustada mõne saidi juurdepääsuparooli (Basic, Digest, NTLM jne) lekke DNS-serverisse. Kasutades paroolis sümbolit "@", mida kasutatakse ka URL-is parooli eraldajana, saadab curl HTTP-ümbersuunamise käivitamisel parooli osa, mis on pärast sümbolit "@" koos domeeniga. nimi. Näiteks kui sisestate parooli "passw@rd123" ja kasutajanime "dan", loob curl URL-i "https://dan:passw@[meiliga kaitstud]/path" asemel "https://dan:passw%[meiliga kaitstud]/path" ja saadab päringu hosti lahendamiseks[meiliga kaitstud]"example.com asemel".
Probleem ilmneb siis, kui suhteliste HTTP ümbersuunajate tugi on lubatud (keelatud CURLOPT_FOLLOWLOCATION kaudu). Traditsioonilise DNS-i kasutamisel saavad teavet osa paroolist DNS-i pakkuja ja ründaja, kellel on võimalus võrguliiklust peatada (isegi kui algne päring oli HTTPS-i kaudu, kuna DNS-liiklus pole krüptitud). DNS-over-HTTPS (DoH) kasutamisel on leke piiratud DoH-operaatoriga.
Allikas: opennet.ru