Predstavljen je GNU Wget 1.25, program za automatizaciju preuzimanja datoteka putem HTTP/HTTPS i FTP/FTPS protokola. Alat podržava mogućnosti poput nastavka prekinutih preuzimanja, zrcaljenja web stranica uz filtriranje podataka koji se preuzimaju prema maskama, preoblikovanja veza unutar dokumenata, postavljanja kolačića i ažuriranja samo izmijenjenih datoteka. Kod projekta napisan je na jeziku C i distribuira se pod GPLv3 licencom.
U novoj verziji:
- Prepisana je analiza dijela URL-a koji sadrži informacije o korisničkom imenu (protocol://userinfo@host:port/path). Ranije je wget pogrešno obrađivao znak ';' tijekom analize userinfo, što je dovelo do ranjivosti (CVE-2024-38428) jer bi dio podataka userinfo moglo biti obrađeno kao ime hosta. Na primjer, korisničko ime 'attackerhost;' u URL-u 'ftp://attackerhost;@host' vodilo je do pristupa hostu 'attackerhost' umjesto 'host'.
- Prekida se podrška za skraćeni format URL-veza na HTTP i FTP resurse (bez eksplicitnog naznačivanja protokola, kao 'wget username:password@myserver'), koji je ranije bio proglašen zastarjelim i doveo do ranjivosti CVE-2024-10524. Podaci o ranjivosti još nisu objavljeni, ali izgleda da je ona jedan od oblika već spomenutog problema CVE-2024-38428.
- Čitanje iz datoteka i standardnog toka (stdin) prebačeno je na korištenje neblokirajućeg načina rada. Promjena omogućuje postupno prosljeđivanje veza kroz ulazni tok upotrebom naredbe 'print_urls | wget -i-'. Ranije je wget učitao postojeće podatke i odmah zatvorio deskriptor datoteke.
Osim toga, vrijedi napomenuti da je predstavljena i verzija alata za preuzimanje i slanje podataka putem mreže — curl 8.11.0, koji pruža mogućnost fleksibilnog oblikovanja zahtjeva s zadanim parametrima, poput kolačića, user_agent, referer i bilo kojih drugih zaglavlja. cURL podržava HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP i druge mrežne protokole. Kod projekta distribuira se pod licencom Curl (varijanta MIT licence).
Među promjenama u curl 8.11:
- Uklonjena je ranjivost (CVE-2024-9681) koja omogućava pristup resursu putem http:// protokola, unatoč pravilima HSTS (HTTP Strict Transport Security) koja nalažu korištenje samo HTTPS-a. Problem se manifestira kada se ima kontrola nad subdomenama napadnutog hosta. Na primjer, prilikom zahtjeva za hostom x.example.com, napadač može manipulirati HTTP zaglavljem „Strict-Transport-Security:” kako bi utjecao na podatke u HSTS predmemoriji za domenu example.com.
- Najavljena je stabilna podrška za WebSocket protokol.
- Omogućeno je korištenje opcije „—create-dirs” zajedno s opcijom „—dump-header”.
- U kripto-backend temeljen na GnuTLS dodana je podrška za certifikate u P12 formatu.
- Korištenjem GnuTLS implementirana je podrška za mehanizam Early Data, koji omogućava klijentu slanje podataka prije završetka faze usklađivanja TLSv1.3 veze.
- Dodana je postavka za isključivanje IPFS protokola.
- Za GnuTLS i wolfSSL dodana je podrška za keširanje sesija temeljenog na QUIC protokolu.
- Dodana je podrška za dinamičko uključivanje podrške za TLS ekstenziju ECH (Encrypted Client Hello), namijenjenu enkripciji informacija o parametrima TLS sesija, poput tražene domene.
- Dodana je mogućnost zajedničkog korištenja opcija „—show-headers” i „—remote-header-name”, kao i korištenje opcije „—skip-existing” zajedno s „—parallel”.
Daniel Stenberg, autor projekta curl, predstavio je inicijativu za održavanje LTS izdanja (Rock-solid), ažuriranja s ispravcima ozbiljnih grešaka i ranjivosti koja će biti objavljena najmanje pet godina. Prvim LTS projektom proglašena je grana 8.9.x, za koju je već formiran ispravak verzije 8.9.2 koji uklanja dvije ranjivosti. Pristup LTS ažuriranjima omogućen je samo klijentima koji su sklopili ugovor o podršci.
Kod LTS izdanja nastavlja se distribucija pod prethodnom Curl licencom (MIT varijanta), ali na poseban zahtjev predviđena je mogućnost isporuke pod posebnom komercijalnom licencom. Pribavljena sredstva bit će utrošena na održavanje projekta i financiranje programera. Nova LTS grana planira se formirati svake 8-24 mjeseca. Korištenje LTS grane omogućit će stabilnu bazu, oslobođenu vjerojatnosti regresivnih promjena.
Izvor: opennet.ru
