nova verzija uslužnog programa za primanje i slanje podataka preko mreže - , koji pruža mogućnost fleksibilnog formuliranja zahtjeva određivanjem parametara kao što su kolačić, user_agent, referer i bilo koja druga zaglavlja. cURL podržava HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP i druge mrežne protokole. U isto vrijeme, objavljeno je ažuriranje za biblioteku libcurl, koja se paralelno razvija, pružajući API za korištenje svih curl funkcija u programima na jezicima kao što su C, Perl, PHP, Python.
Novo izdanje dodaje opciju "--retry-all-errors" za ponovni pokušaj operacije ako se pojave pogreške i ispravlja dvije ranjivosti:
- omogućuje vam da prebrišete lokalnu datoteku u sustavu kada pristupate poslužitelju koji kontrolira napadač. Problem se pojavljuje samo kada se opcije "-J" ("–remote-header-name") i "-i" ("—head") koriste istovremeno. Opcija "-J" omogućuje spremanje datoteke s nazivom navedenim u zaglavlju
"Sadržaj-dispozicija". Ako datoteka s istim imenom već postoji, curl program obično odbija izvršiti prebris, ali ako je prisutna opcija "-i", logika provjere je prekinuta i datoteka je prebrisana (provjera se provodi u fazi primanja tijela odgovora, ali s opcijom “-i” HTTP zaglavlja se prvo prikazuju i imaju vremena za spremanje prije nego što se tijelo odgovora počne obrađivati). U datoteku se zapisuju samo HTTP zaglavlja, ali poslužitelj može poslati proizvoljne podatke umjesto zaglavlja i oni će biti zapisani. - može dovesti do curenja nekih lozinki za pristup web-mjestu (Basic, Digest, NTLM, itd.) na DNS poslužitelj. Korištenjem simbola "@" u zaporci, koji se također koristi kao separator zaporke u URL-u, kada se pokrene HTTP preusmjeravanje, curl će poslati dio zaporke nakon simbola "@" zajedno s domenom za rješavanje Ime. Na primjer, ako unesete lozinku "passw@rd123" i korisničko ime "dan", curl će generirati URL "https://dan:passw@[e-pošta zaštićena]/path" umjesto "https://dan:passw%[e-pošta zaštićena]/path" i poslat će zahtjev za rješavanje hosta "[e-pošta zaštićena]" umjesto "example.com".
Problem se pojavljuje kada je omogućena podrška za relativne HTTP preusmjerivače (onemogućeno putem CURLOPT_FOLLOWLOCATION). Ako se koristi tradicionalni DNS, informacije o dijelu lozinke mogu dobiti DNS pružatelj i napadač koji ima mogućnost presretanja tranzitnog mrežnog prometa (čak i ako je izvorni zahtjev bio putem HTTPS-a, jer DNS promet nije šifriran). Kada se koristi DNS-over-HTTPS (DoH), curenje je ograničeno na DoH operatera.
Izvor: opennet.ru