È stato rilasciato GNU Wget 1.25, un programma per automatizzare il download di file utilizzando i protocolli HTTP/HTTPS e FTP/FTPS. Lo strumento supporta funzionalità come il ripristino dei download interrotti, il mirror dei siti con filtraggio dei dati scaricati secondo maschere, la conversione dei collegamenti all'interno dei documenti, l'impostazione dei cookie e l'aggiornamento solo dei file modificati. Il codice del progetto è scritto in linguaggio C e distribuito con licenza GPLv3.
Nella nuova versione:
- Riscritta l'analisi di una parte dell'URL contenente informazioni sull'username (protocollo://userinfo@host:port/path). In precedenza wget gestiva in modo errato il carattere «;» durante l'analisi dell'userinfo, portando a una vulnerabilità (CVE-2024-38428) poiché parte dei dati dell'userinfo poteva essere interpretata come nome dell'host. Ad esempio, l'username «attackerhost;» nell'URL «ftp://attackerhost;@host» portava a una richiesta all'host «attackerhost», anziché «host».
- È stata interrotta la supporto per il formato abbreviato delle URL HTTP e FTP (senza indicazione esplicita del protocollo, ad esempio, «wget username:password@myserver»), che in precedenza era stato dichiarato obsoleto e portava a una vulnerabilità CVE-2024-10524. Le informazioni sulla vulnerabilità non sono ancora divulgate, ma sembra che sia una delle varianti del problema sopra citato CVE-2024-38428.
- La lettura da file e dallo standard input (stdin) è stata modificata per utilizzare una modalità non bloccante. Questa modifica permette di passare gradualmente attraverso il flusso di input i collegamenti, utilizzando il comando «print_urls | wget -i-». In precedenza wget leggeva i dati disponibili e chiudeva immediatamente il descrittore di file.
Inoltre, si segnala il rilascio dello strumento per ricevere e inviare dati in rete — curl 8.11.0, che offre la possibilità di formare in modo flessibile le richieste impostando parametri come cookie, user_agent, referer e qualsiasi altro header. cURL supporta HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP e altri protocolli di rete. Il codice del progetto è distribuito con licenza Curl (versione della licenza MIT).
Tra le novità di curl 8.11:
- È stata corretta una vulnerabilità (CVE-2024-9681) che permetteva l'accesso a una risorsa tramite il protocollo http://, nonostante la presenza di regole HSTS (HTTP Strict Transport Security) che prescrivono l'uso esclusivo di HTTPS. Il problema si verifica quando si ha il controllo sui sottodomini dell'host attaccato. Ad esempio, richiedendo l'host x.example.com, un attaccante può influenzare i dati nella cache HSTS tramite manipolazioni dell'intestazione HTTP "Strict-Transport-Security:" per di dominio example.com.
- È stato dichiarato stabile il supporto per il protocollo WebSocket.
- È stata fornita la possibilità di utilizzare la modalità "—create-dirs" insieme all'opzione "—dump-header".
- È stato aggiunto al backend crittografico basato su GnuTLS il supporto per i certificati nel formato P12.
- Utilizzando GnuTLS, è stata implementata la supporto per il meccanismo Early Data, che consente al client di inviare dati prima del completamento della fase di negoziato della connessione TLSv1.3.
- È stata aggiunta un'impostazione per disabilitare il protocollo IPFS.
- Per GnuTLS e wolfSSL è stato aggiunto il supporto per la cache delle sessioni basata sul protocollo QUIC.
- È stato aggiunto il supporto per l'attivazione dinamica del supporto dell'estensione TLS ECH (Encrypted Client Hello), destinata a criptare le informazioni sui parametri delle sessioni TLS, come il nome di dominio richiesto.
- È stata aggiunta la possibilità di utilizzare contemporaneamente le opzioni "—show-headers" e "—remote-header-name", così come l'opzione "—skip-existing" insieme a "—parallel".
Daniel Stenberg, autore del progetto curl, ha presentato un'iniziativa per il mantenimento delle versioni LTS (Rock-solid), aggiornamenti che risolvono errori gravi e vulnerabilità che saranno pubblicati per almeno 5 anni. Il primo progetto LTS è la versione 8.9.x, per la quale è già stato rilasciato un aggiornamento correttivo 8.9.2 che risolve due vulnerabilità. L'accesso agli aggiornamenti LTS è fornito solo ai clienti che hanno stipulato un contratto di supporto.
Il codice delle versioni LTS continuerà a essere distribuito con la precedente licenza Curl (variante MIT), ma è prevista la possibilità di fornitura sotto una licenza commerciale separata su richiesta. I fondi ottenuti saranno utilizzati per il mantenimento del progetto e per finanziare gli sviluppatori. Si prevede di creare nuove versioni LTS ogni 8-24 mesi. L'uso della versione LTS permetterà di avere una base stabile, priva del rischio di modifiche retroattive.
Fonte: opennet.ru
