Megjelent a curl legújabb verziója, amely egy adatátviteli eszköz és könyvtár az interneten. A projekt 25 éves fejlődése alatt a curl támogatja a számos hálózati protokollt, mint például HTTP, Gopher, FTP, SMTP, IMAP, POP3, SMB és MQTT. A libcurl könyvtárat olyan fontos közösségi projektek használják, mint például a Git és a LibreOffice. A projekt kódja az alábbi licenc alatt érhető el: Curl (MIT licenc változata).
A kiadás két szempontból is figyelemre méltó:
- hozzáadva lett a SOCKS5 protokoll támogatása, IPFS;
- javítva veszélyes vulnerability a SOCKS5 protokoll megvalósításában;
A sebezhetőséget különösen megjelölte a projekt szerzője, Daniel Stenberg, mint "az egyik legkomolyabb sebezhetőséget a curl történetében már régóta". A sebezhetőséget a SOCKS5 proxy-val való kapcsolat logikai hibája okozza, amely lehetővé teszi, hogy a támadó túlcsordulást idézzen elő, és tetszőleges kódot hajtson végre az alkalmazás oldalán.
A hibát Jay Satiro fedezte fel, a The Internet Bug Bounty program keretében, amelyért 4660 dolláros kártérítést kapott.
Meg kell jegyezni, hogy Daniel aktívan részt vesz a biztonsági kérdések kezelésében és a űrlapokban. a curl keretében Rust nyelven történő HTTP protokoll megvalósításának bevezetésében.
Forrás: linux.org.ru
