Megjelent a GNU Wget 1.25, amely a fájlok letöltésének automatizálását szolgáló program HTTP/HTTPS és FTP/FTPS protokollok használatával. Az eszköz támogatja a következő lehetőségeket: megszakított letöltések folytatása, weboldalak tükörképezése a letöltött adatok szűrésével, a hivatkozások átkonvertálása a dokumentumokban, cookie-k beállítása és csak a megváltozott fájlok frissítése. A projekt kódja C nyelven íródott, és GPLv3 licenc alatt terjesztik.
Az új verzióban:
- A felhasználói névvel kapcsolatos részletek URL-jének elemzése át lett írva (protocol://userinfo@host:port/path). Korábban a wget hibásan dolgozta fel a userinfo-ban található „;” karaktert, ami sebezhetőséget (CVE-2024-38428) eredményezett, mivel a userinfo adatok egy része host névként lett kezelve. Például a „attackerhost;” felhasználónév az „ftp://attackerhost;@host” URL-ben az „attackerhost” hosztra hivatkozott ahelyett, hogy a „host” hosztra ment volna.
- Megszűnt a rövidített HTTP- és FTP-erőforrások URL-jeinek formátumának támogatása (protokoll kifejezett megadása nélkül, például „wget username:password@myserver”), amelyet korábban elavultnak nyilvánítottak, és amely sebezhetőséget okozott (CVE-2024-10524). A sebezhetőség részletei még nem ismertek, de feltételezhetően a fent említett CVE-2024-38428 probléma egyik variánsáról van szó.
- A fájlokból és a szabványos bemeneti áramlásból (stdin) való olvasás átkonvertálásra került nem-blokkoló mód használatára. A módosítás lehetővé teszi, hogy fokozatosan továbbítson hivatkozásokat a bemeneti áramlás során a „print_urls | wget -i-” paranccsal. Korábban a wget azonnal lezárta a fájleltolva a meglévő adatokat.
Továbbá megemlíthetjük a curl 8.11.0 eszköz kiadását, amely lehetőséget biztosít az adatok lekérésére és küldésére a hálózaton, rugalmas kérés-formálással, megadva olyan paramétereket, mint a cookie, user_agent, referer és egyéb fejlécek. A cURL támogatja a HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP és más hálózati protokollokat. A projekt kódja a Curl licenc (MIT licenc változat) alatt terjesztik.
A curl 8.11 változásai között:
- Megszüntették a (CVE-2024-9681) biztonsági rést, amely lehetővé tette, hogy a felhasználók a http:// protokollal érjék el az erőforrásokat, annak ellenére, hogy HSTS (HTTP Strict Transport Security) szabályok előírják a csak HTTPS használatát. A probléma akkor jelentkezik, ha a támadó a célhost aldomainjeivel rendelkezik. Például, ha a x.example.com hosztra kérés érkezik, a támadó a „Strict-Transport-Security:” HTTP fejlécekkel manipulálva befolyásolhatja a HSTS cache adatokat. domain example.com.
- Bejelentették a WebSocket protokoll stabil támogatását.
- Lehetővé vált a „—create-dirs” mód használata a „—dump-header” lehetőséggel együtt.
- A GnuTLS alapú titkosítási backendhez hozzáadták a P12 formátumú tanúsítványok támogatását.
- GnuTLS használata esetén megvalósították a Early Data mechanizmus támogatását, amely lehetővé teszi a kliens számára, hogy adatokat küldjön a TLSv1.3 összekapcsolási szakasz befejezése előtt.
- Beállítást adtak hozzá az IPFS protokoll letiltásához.
- A GnuTLS és wolfSSL számára hozzáadták a QUIC protokoll alapú munkamenet cache-elés támogatását.
- Hozzáadták az ECH (Encrypted Client Hello) TLS-kiterjesztés dinamikus engedélyezésének támogatását, amely a TLS-munkamenetek paramétereiről, például a kért domain névről szóló információk titkosítására szolgál.
- Lehetővé vált a „—show-headers” és a „—remote-header-name” opciók együttes használata, valamint a „—skip-existing” opció használata a „—parallel” mellett.
Daniel Stenberg, a curl projekt szerzője, bejelentette a LTS kiadások (Rock-solid) fenntartására vonatkozó kezdeményezést, amelynek keretében súlyos hibák és biztonsági rések javítására szolgáló frissítéseket legalább 5 évig fognak közzétenni. Az első LTS projektnév az 8.9.x ág, amely már tartalmaz egy 8.9.2 verziószámú javítókiadást, amely két sérülékenységet hárít el. Az LTS frissítésekhez hozzáférés csak az ügyfelek számára elérhető, akik támogatási szerződést kötnek.
Az LTS kiadások kódja továbbra is az előző Curl licenc (MIT változat) keretein belül terjed, de külön kérésre lehetőség van az egyedi kereskedelmi licenc alá történő kiadásra. A befolyt összegeket a projekt fenntartására és a fejlesztők támogatására fordítják. Az új LTS ágakat 8-24 havonta tervezik létrehozni. Az LTS ág használata egy stabil bázist biztosít, amely mentes a visszafelé kompatibilitási problémáktól.
Forrás: opennet.ru
