Ua hoʻokuʻu ʻia ka curl 7.71.0, e hoʻoponopono ana i ʻelua mau nāwaliwali

Loaʻa mana hou o ka pono no ka loaʻa ʻana a me ka hoʻouna ʻana i ka ʻikepili ma luna o ka pūnaewele - Nānā 7.71.0, ka mea e hāʻawi i ka hiki ke hana maʻalahi i kahi noi ma ke kuhikuhi ʻana i nā ʻāpana e like me cookie, user_agent, referer a me nā poʻomanaʻo ʻē aʻe. Kākoʻo ʻo cURL iā HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP a me nā kuʻina pūnaewele ʻē aʻe. I ka manawa like, ua hoʻokuʻu ʻia kahi mea hou no ka hale waihona puke libcurl, kahi e hoʻomohala like ʻia, e hāʻawi ana i kahi API no ka hoʻohana ʻana i nā hana curl āpau i nā papahana ma nā ʻōlelo e like me C, Perl, PHP, Python.

Hoʻohui ka hoʻokuʻu hou i ke koho "--retry-all-errors" e hoʻāʻo hou i nā hana inā loaʻa kekahi hewa a hoʻoponopono i ʻelua mau nāwaliwali:

  • Palekana CVE-2020-8177 hiki iā ʻoe ke kākau hou i kahi faila kūloko i ka ʻōnaehana i ka wā e komo ai i kahi kikowaena i mālama ʻia e ka mea hoʻouka. ʻIke wale ʻia ka pilikia ke hoʻohana ʻia nā koho "-J" ("-remote-header-name") a me "-i" ("—head") i ka manawa like. ʻO ke koho "-J" hiki iā ʻoe ke mālama i ka faila me ka inoa i kuhikuhi ʻia ma ke poʻo
    "Content-Disposition". Inā loaʻa kahi faila me ka inoa like, hōʻole ka papahana curl e hana i kahi overwrite, akā inā aia ke koho "-i", ua haki ka loiloi loiloi a ua kākau ʻia ka faila (e hana ʻia ka nānā ma ke kahua. o ka loaʻa ʻana o ke kino pane, akā me ke koho "-i" e hōʻike mua ʻia nā poʻomanaʻo HTTP a loaʻa ka manawa e mālama ʻia ma mua o ka hoʻomaka ʻana o ke kino pane). ʻO nā poʻomanaʻo HTTP wale nō i kākau ʻia i ka faila, akā hiki i ke kikowaena ke hoʻouna i nā ʻikepili kūʻokoʻa ma mua o nā poʻo a e kākau ʻia lākou.

  • Palekana CVE-2020-8169 hiki ke alakaʻi i kahi leak i ka DNS server o kekahi o nā ʻōlelo huna o ka pūnaewele (Basic, Digest, NTLM, etc.). Ma ka hoʻohana ʻana i ka hōʻailona "@" i loko o kahi ʻōlelo huna, i hoʻohana ʻia hoʻi ma ke ʻano he mea hoʻokaʻawale ʻōlelo huna ma ka URL, ke hoʻāla ʻia kahi hoʻihoʻi HTTP, e hoʻouna ʻo curl i ka ʻāpana o ka ʻōlelo huna ma hope o ka hōʻailona "@" me ka domain e hoʻoholo ai. ka inoa. No ka laʻana, inā hāʻawi ʻoe i ka ʻōlelo huna "passw@rd123" a me ka inoa inoa "dan", e hoʻopuka ka curl i ka URL "https://dan:passw@[pale ʻia ka leka uila]/path" ma kahi o "https://dan:passw%[pale ʻia ka leka uila]/ ala" a e hoʻouna i kahi noi e hoʻoholo i ka host "[pale ʻia ka leka uila]" ma kahi o "example.com".

    ʻIke ʻia ka pilikia ke hoʻohana ʻia ke kākoʻo no nā mea hoʻoponopono HTTP pili (hoʻopau ʻia ma CURLOPT_FOLLOWLOCATION). Inā hoʻohana ʻia ka DNS kuʻuna, hiki ke loaʻa ka ʻike e pili ana i ka ʻāpana o ka ʻōlelo huna e ka mea hāʻawi DNS a me ka mea hoʻouka ʻia i hiki ke hoʻopaʻa i ke kaʻa o ka ʻoihana transit (ʻoiai inā ma HTTPS ka noi kumu, no ka mea ʻaʻole i hoʻopili ʻia ʻo DNS traffic). Ke hoʻohana ʻia ka DNS-over-HTTPS (DoH), ua kaupalena ʻia ka leak i ka mea hoʻohana DoH.

Source: opennet.ru

Pākuʻi i ka manaʻo hoʻopuka